AgentPublic/cnil huggingface dataset:
Formule les observations suivantes :   La caisse primaire d'assurance maladie de Strasbourg a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la création d'une base de données des auteurs présumés de fraudes.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées.   Ce traitement permettra à la caisse de suivre les cas de suspicion de fraudes aux prestations détectés par les différents services de la caisse primaire de Strasbourg et le service médical.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du service contrôle technique des praticiens et des fraudes.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'auteur du signalement, les faits, les circonstances de la détection, le montant éventuel du préjudice, l'identité de l'auteur présumé, son numéro de sécurité sociale, les informations se rapportant au traitement interne des signalements, des suites données.   Elles seront conservées cinq ans dans l'application après clôture du dossier.   Les destinataires
des informations seront les agents de la cellule interne fraude et la direction.  Les personnes habilitées accéderont à l'application par un dispositif de carte à puce particulier.
Autorise, dans ces conditions, la caisse primaire d'assurance maladie de Strasbourg à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la création d'une base de données des auteurs présumés de fraudes.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;   Vu la demande d'autorisation présentée par l'Association Réseau de cancérologie de la région Midi-Pyrénées, ONCOMIP, d'un traitement automatisé de données à caractère personnel ayant pour finalité la prise en charge coordonnée en cancérologie et le suivi des patients dans le cadre de comités de concertation pluridisciplinaires.   Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :   L'Association Réseau de cancérologie de la région Midi-Pyrénées ONCOMIP situé au sein de la faculté de médecine a saisi la CNIL d'une demande d'autorisation relative à la mise en place d'un dossier médical partagé qui prendra la forme d'un échange de données de santé sécurisé afin d'améliorer la qualité de la prise en charge et du suivi des patients.  Le réseau ONCOMIP a pour mission principale d'organiser la prise en charge coordonnée en cancérologie au niveau régional.  Dans ce cadre, les professionnels de santé hospitaliers ou libéraux peuvent proposer à leurs patients de recueillir l'avis d'un comité de concertation pluridisciplinaire.   Des statistiques d'évaluation pourront être effectuées à partir de données préalablement anonymisées.   Il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l'intérêt public.   La Commission prend acte que le système d'information du réseau repose sur internet.  Les échanges de données bénéficieront d'un haut niveau de chiffrement.  L'accès au réseau se fera par carte à puce de type carte de professionnels de santé (CPS) pour les professionnels équipés ou par un identifiant associé à un mot de passe.  Les intervenants seront habilités à accéder aux données en fonction de leurs attributions par le coordonnateur du réseau.   Le droit
d'accès défini au chapitre V de la loi s'exercera auprès du médecin qui prend en charge le patient.  L'accès à la fiche médicalisée et au détail des informations transmises aux structures d'évaluation s'exercera auprès de la direction du réseau ONCOMIP. Une note d'information sera remise au patient à cet effet.  Le consentement du patient sera requis avant toute transmission de données au réseau.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité du patient, son sexe, sa date de naissance, son adresse, ses antécédents médicaux, aux caractéristiques du cancer, à l'état général du patient, et aux propositions rendues par le comité de concertation pluridisciplinaires.  Les données concernant le professionnel de santé seront relatives à son identité, son adresse et son activité.   Les informations seront conservées dans l'application tant que le patient adhère au réseau.  A l'issue de cette période, les données devront être archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques.   Les destinataires ou catégories de destinataires habilités à recevoir communication des informations seront, à raison de leurs attributions les professionnels participant au réseau et intervenant dans la prise en charge.
Autorise, dans ces conditions l'Association Réseau de cancérologie de la région Midi-Pyrénées ONCOMIP à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour finalité la prise en charge coordonnée en cancérologie et le suivi des patients dans le cadre de comités de concertation pluridisciplinaires.   Le réseau ONCOMIP situé au sein de la faculté de médecine, allée Jules Guesde à Toulouse, devra, en sa qualité d'hébergeur de données de santé à caractère personnel, satisfaire aux conditions d'agrément telles qu'elles seront définies en application de l'article L. 1111-8 du code de la santé publique.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique et aux libertés, modifiée.   Vu la demande d'autorisation présentée par l'association du réseau de prise en charge de l'insuffisance cardiaque au sein de l'Isère (RESIC 38) concernant la mise en oeuvre d'un dossier médical informatisé en réseau pour des patients traités pour une insuffisance cardiaque;   Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   L'association du réseau de prise en charge de l'insuffisance cardiaque au sein de l'Isère (RESIC 38) a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la collecte et l'échange d'informations médicales et paramédicales entre professionnels de santé prenant en charge des patients insuffisants cardiaques dans le cadre du réseau.   L'association RESIC 38, qui regroupe des professionnels de santé membres du réseau, souhaite favoriser la diffusion rapide d'informations médicales nécessaires à l'optimisation de la prise en charge de l'insuffisance cardiaque et du suivi des patients dans le strict respect du secret médical et des règles déontologiques.   La Commission nationale de l'informatique et des libertés s'est d'ores et déjà prononcée favorablement en mars 2004 sur la mise en place de la plate-forme d'échanges pour les professionnels de santé de la région Rhône-Alpes.   La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier les articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements de données de santé justifiés par l'intérêt public.   La Commission prend acte que le système d'information sera hébergé dans les locaux du centre régional d'informatique hospitalière (CRIE), installé dans l'enceinte du
centre hospitalier universitaire (CHU) de Grenoble.  L'accès aux données sera réservé aux professionnels de santé du réseau titulaires d'une carte de professionnel de santé CPS) et habilités par le coordonnateur du réseau.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès de chaque professionnel de santé membre du réseau ou auprès du coordonnateur médical.  Une charte d'adhésion sera remise au patient dont le consentement sera requis avant toute transmission de données au réseau.   Les catégories de données à caractère personnel traitées seront relatives à l'identité du patient et du médecin traitant, aux coordonnées et aux informations médicales liées à la prise en charge de l'insuffisance cardiaque.   Les destinataires des données seront les professionnels de santé membres du réseau et participant aux soins du patient, et les personnels habilités par le coordonnateur du réseau.
Autorise, dans ces conditions l'association du réseau de prise en charge de l'insuffisance cardiaque au sein de l'Isère (RESIC 38), à mettre en oeuvre un traitement de données à caractère personnel, ayant pour finalité la collecte et l'échange d'informations médicales et paramédicales sur des patients souffrant d'insuffisance cardiaque entre les professionnels de santé du réseau RESIC 38, afin d'améliorer la prise en charge des patients.   Le CHU de Grenoble devra, en sa qualité d'hébergeur de données de santé à caractère personnel, satisfaire aux conditions d'agrément telles qu'elles seront définies en application de l'article L. 1111-8 du code de la santé publique.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 28 août 2005 par l'agence pour le développement de l'administration électronique d'une demande d'avis portant sur un projet d'arrêté créant le téléservice "monservicepublic" ;   Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment son article 27-II, 4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Après avoir entendu, Mme Isabelle Falque-Pierrotin, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du gouvernement, en ses observations ;
Emet l'avis suivant :   L'Agence pour le développement de l'administration électronique (ADAE) a saisi la Commission nationale de l'informatique et des libertés d'une demande d'avis portant sur un projet d'arrêté créant le téléservice "monservicepublic" conformément aux dispositions de l'article 27-II, 4° de la loi du 6 janvier 1978 modifiée ;   Le portail internat ainsi créé sera mis en oeuvre à titre expérimental pour une durée d'un an.  A cette fin, ce portail permettra de recevoir les informations issues des sites internet des administrations correspondant aux centres d'intérêts de l'usager. Il lui permettra également, par une authentification unique, d'accéder aux téléservices des administrations partenaires ainsi qu'à ses dossiers personnels, par un moyen technique évitant de saisir les identifiants sectoriels à chaque connexion.  Il assurera enfin le stockage sur un espace dédié de ses dossiers et données personnels et lui permettra de bénéficier d'une messagerie électronique ainsi que d'un système de suivi et d'alertes.   Dans la mesure où la présente expérimentation est limitée à un an, le présent avis de la Commission est limité à la durée de cette expérimentation et l'ADAE devra présenter un nouveau dossier de formalités préalables lors de la mise en oeuvre définitive du portail.   Elle rappelle que chaque administration partenaire du portail "monservicepublic" devra accomplir les formalités préalables prévues par la loi du 6 janvier 1978 modifiée,
préalablement à la mise en oeuvre de son téléservice.
Sur la personnalisation de l'information :   La Commission constate que l'usager pourra, après avoir créé un compte sur le portail internet "monservicepublic", définir, en fonction de ses centres d'intérêts, les domaines dans lesquels il souhaite recevoir une information des sites des administrations. Cette fonctionnalité ne concerne, en l'état du projet, que les informations disponibles sur le site "servicepublic.fr". Elle estime que cette fonctionnalité ne soulève pas de difficulté au regard des règles de protection des données à caractère personnel, dès l'instant où l'usager est libre de paramétrer les informations qu'il reçoit et de modifier ou de supprimer à tout moment son compte personnel.   Toutefois, afin de garantir l'anonymat de cette fonction, la Commission demande que les dispositions de l'article 2 du projet d'arrêté créant le portail "monservicepublic" relatives à l'énumération de la finalité relative à "la personnalisation des contenus" soient complétées des termes suivants :  "cette finalité est accessible par la saisie d'un identifiant et d'un mot de passe librement choisis".   Sur l'accès, à partir d'une authentification unique, aux téléservices des partenaires du portail "monservicepublic   "Le portail "monservicepublic" permettra à un usager, à partir d'un point d'entrée unique et d'une seule authentification, d'accéder à ses comptes personnels dans différentes administrations. L'usager qui s'authentifiera, par un identifiant sectoriel, sur un des
sites partenaires du portail pourra demander à bénéficier d'une authentification unique pour accéder à d'autres téléprocédures.  A cette fin, il devra créer un compte sur le portail "monservicepublic" avec un identifiant et un mot de passe (ce dernier a une taille minimale de huit caractères avec au moins une lettre ou un chiffre) puis, indiquer les sites pour lesquels il souhaite bénéficier de l'authentification unique.  Une fois l'identifiant sectoriel indiqué sur chaque site partenaire, il décidera de les relier entre eux par le biais du compte "monservicepublic" qui permettra, ultérieurement, d'accéder à l'ensemble des téléservices ainsi fédérés au seul moyen de l'identifiant et du mot de passe du portail "monservicepublic".
La Commission prend acte que le numéro permettant de relier, à partir du portail "monservicepublic", les sites partenaires choisis par l'usager sera une chaîne alphanumérique (chiffres et lettres) aléatoire, non signifiante permettant seulement de faire le lien entre les téléservices, sans que le système technique du portail "monservicepublic" ne puisse avoir accès ou connaître les identifiants sectoriels de l'usager.  Elle constate que ce numéro n'aboutira donc pas à un regroupement d'identifiants sectoriels autour d'un identifiant commun.   La Commission recommande que l'usager du portail internet soit informé de l'existence de ce numéro permettant de relier le site "monservicepublic" aux téléservices des administrations partenaires en évitant de saisir les identifiants sectoriels.   La Commission relève, qu'en l'état du projet, il n'y a pas de volonté de faire du portail "monservicepublic" un dispositif obligatoire pour les usagers, ni de créer un identifiant administratif national.   La Commission souligne qu'elle restera vigilante sur les développements futurs du projet et demande que l'ADAE apporte toutes les garanties sur ce point.
Sur l'espace de données :   L'espace de données aura pour fonctions, à la fois de permettre de stocker des données à caractère personnel qui serviront à compléter de façon automatique des formulaires en ligne et aussi, de comporter une partie contenant des pièces justificatives pouvant être envoyées par l'usager lorsque cela est nécessaire.   La Commission attire l'attention de l'ADAE sur la nécessité de s'assurer de la proportionnalité des informations enregistrées dans l'espace personnel au regard des finalités offertes tant par celui-ci que par le portail "monservicepublic".   La Commission constate que l'accès à l'espace de données prévoit la saisie facultative de plusieurs informations dont la profession, la nationalité et les date et lieu de naissance.   La Commission considère que la nécessité de collecter ces informations, en particulier celles relatives à la naissance, la profession ou la nationalité, devra être appréciée, dans la version définitive du projet, au regard des téléservices partenaires effectivement accessibles.   La Commission prend acte que le projet d'arrêté ministériel créant le traitement rappelle que l'espace de données ne pourra être utilisé par les administrations pour échanger entre elles des documents, qu'avec le consentement de l'usager.
La Commission estime que le projet d'arrêté ministériel créant le traitement devra prévoir que les partenaires ne peuvent se voir communiquer par le biais de l'espace de données que les informations et documents dont ils ont à connaître dans le cas où ils y sont habilités par un texte législatif ou réglementaire.   Sur la messagerie électronique et la fonction de suivi des dossiers personnels :   Cette fonctionnalité regroupera à la fois la fonction de messagerie électronique contenue dans le portail "monservicepublic" et la fonction de suivi des procédures personnelles permettant, notamment, de recevoir des alertes sur l'état des dossiers personnels.   La Commission demande que l'ADAE complète la finalité prévue dans le projet d'arrêté ministériel créant le traitement en précisant les modalités exactes des alertes sur les dossiers personnels, en particulier la durée pendant laquelle ce suivi pourra s'effectuer.   La Commission souligne que le portail "monservicepublic" ne doit pas conduire à un suivi des situations individuelles des usagers, au-delà de l'information sur l'enregistrement, le déroulement ou la clôture du dossier individuel.  L'usager pourra consentir, cependant, à recevoir une alerte qu'il aura choisie sur une échéance relative à son dossier ou à la formalité accomplie.
Sur l'information des personnes :   La Commission estime que les droits d'accès, de rectification et de suppression des données prévus par les articles 38 à 40 de la loi du 6 janvier 1978 modifiée doivent porter sur l'ensemble des informations rattachées à une personne.   La Commission demande, par ailleurs, que les mentions prévues par l'article 32 de la loi du 6 janvier 1978 modifiée, figurent sur le portail "monservicepublic".   Sur le chiffrement des données à caractère personnel et la traçabilité des actions menées sur le dispositif technique :   La Commission prend acte du niveau actuel de sécurité du projet de portail "monservicepublic" mais attire l'attention de l'ADAE sur la nécessité de mener une réflexion sur le nécessaire chiffrement des données à caractère personnel contenues dans le dispositif, en particulier celles de l'espace de données.   La Commission estime, qu'afin de garantir les possibilités de contrôle et d'analyse du dispositif, une politique de traçabilité doit être effectivement mise en place, en particulier s'agissant du stockage des données, de la suppression des comptes ouverts par les usagers sur le portail et des journaux des administrateurs systèmes ainsi que des sauvegardes.   Sur la durée de conservation des données :   La Commission constate que l'agence pour le développement de l'administration électronique (ADAE) conservera la liste des usagers du portail "monservicepublic" et de leurs login/mot de passe avec le numéro de liaison vers
les sites fédérés par l'usager.   La Commission considère que les comptes des usagers inutilisés devront être désactivés et les données effacées.  Une durée maximale devra être fixée dans le cadre de la version définitive du projet.   La Commission estime que la durée de conservation des sauvegardes devra être réduite à un mois de façon, en particulier, à ne pas conserver de façon indéfinie les liaisons établies par les usagers vers les différents sites partenaires.   La Commission demande que l'ADAE lui fournisse les modalités exactes de l'anonymisation des données à caractère personnel, prévue, à des fins statistiques, après la fin de la durée de conservation de ces données.   Sur la nécessité d'un bilan :   La Commission demande à l'agence pour le développement de l'administration électronique (ADAE) de lui adresser un bilan précis de l'expérimentation, à son terme.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques a l'égard du traitement de données a caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative a la protection des personnes physiques à l'égard des traitements de données a caractère personnel, et notamment son article 25 I 4° et II ;   Vu le document d'orientation relatif aux dispositifs d'alerte professionnelle adopté par la Commission le 10 novembre 2005, annexé à la présente décision ;   Après avoir entendu M. Alex Türk, président, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,   Un dispositif d'alerte professionnelle est un système mis à la disposition des employés d'un organisme public ou privé pour les inciter, en complément des modes normaux d'alerte sur les dysfonctionnements de l'organisme, à signaler à leur employeur des comportements qu'ils estiment contraires aux règles applicables et pour organiser la vérification de l'alerte ainsi recueillie au sein de l'organisme concerné.   Constate que les dispositifs d'alerte
professionnelle ("whistleblowing") mis en oeuvre sur les lieux de travail peuvent prendre la forme de traitements automatisés de données à caractère personnel susceptibles, du fait de leur portée, d'exclure des personnes du bénéfice de leur contrat de travail en l'absence de toute disposition législative ou réglementaire.