AgentPublic/cnil huggingface dataset:
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu les délibérations de la CNIL n°2009-689 et n°2009-270 de la Caisse nationale militaire de sécurité sociale ;
Sur le rapport de M. Jean MASSOT, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Emet l’avis suivant :
La Commission a été saisie le 4 décembre 2010 pour avis par le ministère de la défense d’un projet de décret autorisant la mise en œuvre par la Caisse nationale militaire de sécurité sociale, (CNMSS), d’un traitement de données à caractère personnel dénommé « soins médicaux gratuits »
Les articles L. 115 et L. 128 du code des pensions militaires d’invalidité et victimes de guerre prévoient le droit aux soins médicaux gratuits et à l'appareillage pour les titulaires d'une pension attribuée au titre du même code.
La gestion des dossiers de prise en charge des soins médicaux et d’appareillage a été attribuée à la CNMSS par décision du 9 janvier 2008 du ministre de la défense, à la suite de la suppression de la direction des statuts, des pensions et de la réinsertion sociale du ministère de la défense, dans le cadre de la révision générale des politiques publiques.
Afin d’assurer cette gestion et la liquidation des soins médicaux gratuits et des appareillages des titulaires d’une pension d’invalidité, la CNMSS met en place un traitement automatisé de données à caractère personnel comportant le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).
Pour la gestion des bénéficiaires, les catégories de données traitées sont relatives au NIR, à l’identité, à la date et au lieu de naissance, aux coordonnées, à l’identifiant, à l’identité du représentant légal en cas de bénéficiaire mineur ou majeur incapable, à la situation militaire, au numéro d’inscription de la pension au Grand livre de la dette publique, aux infirmités, aux dates de début et de fin de droits aux soins gratuits et d’appareillage, aux décisions concernant les prestations, à la caisse d’assurance maladie d’appartenance et aux coordonnées bancaires.
Pour la liquidation des soins, les catégories de données traitées sont relatives au NIR, au numéro du fichier national des établissements sanitaires et sociaux, au nom de l’établissement, au numéro d’ordre, au nom de famille, au prénom, à la spécialité du professionnel de santé, à l’adresse des établissements de soins et des professionnels de santé, aux codes des prestations en nature, des actes médicaux, paramédicaux, de biologie médicale, de médicaments et d’appareillage, à la domiciliation bancaire du destinataire du paiement, au prix unitaire de la prestation, à la base du remboursement, à la date et au montant du remboursement et au montant éventuel des indus.
Sont destinataires des données strictement nécessaires à l’exercice de leurs missions en fonction de leurs attributions : les agents habilités de la caisse à l’exception des informations médicales, les médecins conseil et leurs agents, les techniciens de la caisse habilités en charge de l’ouverture des droits, les professionnels de santé ayant dispensé les soins, le service des pensions et le service des retraites de l'Etat dans le cadre de la gestion des pensions, le service de santé des armées dans le cadre de l’appareillage, l’office national des anciens combattants en tant que guichet unique de proximité au service des anciens combattants, la direction des ressources humaines du ministère de la défense pour le traitement du contentieux, les agents habilités des caisses d’assurance maladie en cas de conflits d’imputabilité de la prise en charge des soins, l’administration fiscale dans le cadre de la communication des relevés d’honoraires, les banques uniquement pour ce qui est nécessaire aux règlements et les agents habilités de la caisse nationale d’assurance vieillesse des travailleurs salariés dans la cadre de la certification des NIR.
Les personnes ayant accès aux codes détaillés d'actes médicaux sont uniquement les agents habilités chargés de la liquidation des soins médicaux gratuits (remboursements et réclamations éventuelles), les agents habilités de l'agence comptable pour le contrôle du versement des prestations ainsi que le médecin chargé du contrôle des soins médicaux gratuits et l'équipe d'agents placés sous sa responsabilité.
Les infirmités dont sont atteints les bénéficiaires ne sont connues que du médecin conseil et des agents placés sous sa responsabilité. 
Les techniciens chargés de l'ouverture des droits n'ont accès à ces informations que lors de l'enregistrement des bénéficiaires pour vérification du droit aux soins médicaux gratuits.
L'accès à l’application est subordonné à l’utilisation d’une carte à puce individuelle associée à un mot de passe. Ce dispositif permettra d’identifier l’agent et de vérifier ses habilitations.
Le droit d’opposition ne s’applique pas à ce traitement.
Le droit d’accès et de rectification s’exercera auprès de la Caisse nationale militaire de sécurité sociale.
Le Président
Alex TURK
(demande d’avis n°09030390)
La Commission nationale de l’informatique et des libertés ;
Saisie pour avis par le ministère de la culture et de la communication d’un projet de décret en Conseil d’Etat portant création d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux salles informatiques du ministère de la culture et de la communication ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 27-I-2° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération n°2008-222 du 17 juillet 2008 portant avis sur un projet de décret portant création d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès aux salles informatiques du ministère de la culture et de la communication ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement adjoint ;
Emet l’avis suivant :
Le 10 novembre 2009, la Commission nationale de l’informatique des libertés a été saisie pour avis par le ministère de la culture et de la communication d’un projet de décret en Conseil d’Etat relatif à la mise en œuvre d’un dispositif biométrique ayant pour objet le contrôle de l’accès aux salles informatiques du ministère.
Seuls les personnels du département des systèmes d’information et les prestataires de service,  dûment habilités, dont la mission est d’une durée au moins égale à une semaine, seront autorisés à pénétrer dans les zones protégées. Le gabarit de leur empreinte digitale sera enregistré sur une carte individuelle qu’ils seront seuls à détenir. Outre les éléments biométriques, le système de contrôle des accès traitera également le nom et le prénom des personnes concernées, l’historique des accès et les données relatives à l’habilitation des personnes concernées.
Le contrôle d’accès s’effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l’empreinte digitale enregistré dans la carte à puce. L’historique des entrées dans les salles informatiques sera conservé pendant trois mois.
Le ministère de la culture et de la communication, justifiant en l’espèce d’un impératif de sécurité et le dispositif présenté reposant sur l’enregistrement du gabarit de l’empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, la mise en œuvre d’un traitement reposant sur la reconnaissance de l’empreinte digitale apparaît, en l’état actuel des connaissances sur la technologie utilisée, adaptée et proportionnée à la finalité assignée au dispositif.
Le président
Alex TURK
(avis n° 1205636 v1)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’immigration, de l’intégration, de l’identité nationale et du développement solidaire, d’une demande d’avis relative à un projet de décret modifiant le décret n° 2007-1182 du 3 août 2007 portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la convention signée à Schengen le 19 juin 1990 ; 
Vu le traité instituant la Communauté européenne, notamment son article 62 ; 
Vu la Convention du 19 juin 1990 d'application de l'accord signé à Schengen le 14 juin 1985 entre les gouvernements des Etats de l'Union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes dont la ratification a été autorisée par la loi n° 91-737 du 30 juillet 1991 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le règlement (CE) n° 1030/2002 modifié du Conseil du 13 juin 2002 établissant un modèle uniforme de titre de séjour pour les ressortissants de pays tiers ; 
Vu le règlement (CE) n° 2252/2004 modifié du Conseil du 13 décembre 2004 établissant des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les Etats membres ; 
Vu le règlement (CE) n° 562/2006 modifié du Parlement Européen et du Conseil du 15 mars 2006 établissant un code communautaire relatif au régime de franchissement des frontières par les personnes (code frontières Schengen) ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile ; 
Vu le code des douanes, et notamment son article 67ter ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004, et notamment ses articles 27 et 30 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-401 du 25 mars 2007 ;
Vu le décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports électroniques, modifié notamment par le décret n° 2008-426 du 30 avril 2008 ;
Vu le décret n° 2007-1182 du 3 août 2007 portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la convention signée à Schengen le 19 juin 1990 ; 
Vu la délibération n° 2007-094 du 3 mai 2007 portant avis sur un projet de décret portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la Convention signée à Schengen le 19 juin 1990 ;
Après avoir entendu Monsieur Sébastien HUYGHE, commissaire, en son rapport et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant
La Commission a été saisie, le 15 février 2010, par le ministère de l’immigration, de l’intégration, de l’identité nationale et du développement solidaire, d’une demande d’avis relative à un projet de décret modifiant le décret n° 2007-1182 du 3 août 2007 portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la convention signée à Schengen le 19 juin 1990.
Le décret du 3 août 2007, pris après l’avis susvisé de la CNIL en date du 3 mai 2007, a autorisé la création du traitement dénommé PARAFES, dont la finalité est d’améliorer le contrôle de la police aux frontières sur les voyageurs aériens volontaires et de faciliter à ces derniers un passage rapide des frontières extérieures des Etats parties à la convention d’application de l’accord de Schengen. Ce traitement enregistre notamment les empreintes digitales de huit doigts des passagers aériens volontaires, afin de leur permettre d’emprunter un sas de passage rapide de la frontière. 
L’ouverture de celui-ci est commandée par l’apposition de la bande à lecture optique (dite MRZ) du passeport sur un lecteur, qui détermine si la personne est bien inscrite au programme. A l’intérieur du sas, celle-ci pose ses doigts sur un lecteur biométrique, et ces empreintes sont alors comparées à celles qui auront été préalablement enregistrées, lors de son inscription, dans la base de données centrale. L’authentification du voyageur permet alors l’ouverture de la seconde porte du sas et donc le passage de la frontière. Simultanément, l’identité du voyageur peut faire l’objet d’une interrogation du fichier des personnes recherchées (FPR) et du système d’information Schengen (SIS), de manière à ce que les modalités réglementaires des contrôles aux frontières soient respectées.
Dans ce cadre, le projet de décret modificatif soumis à la Commission vise notamment à étendre ce dispositif, réservé jusqu’à présent aux aéroports de la métropole, aux frontières maritimes et ferroviaires et aux départements d’outre-mer. Ces derniers ne faisant pas partie de « l’espace Schengen », le traitement modifié ne sera plus centré sur le franchissement des frontières extérieures de l’espace Schengen, et c’est pourquoi le projet de décret modificatif prévoit de remplacer l’acronyme « PARAFES » (passage rapide de la frontière extérieure de l’espace Schengen) par « PARAFE » (passage rapide de la frontière extérieure). Ce décret vise en outre à permettre l’accès des agents des services des douanes aux données enregistrées dans le traitement, et à permettre le franchissement des sas de passage, sans inscription préalable, aux titulaires de passeport biométrique.  
Dans la mesure où le traitement PARAFE fait appel à un dispositif biométrique, la Commission considère que ces modifications relèvent plus particulièrement des dispositions des articles 27 et 30 (II) de la loi du 6 janvier 1978 modifiée.
A titre liminaire, la Commission observe que le traitement PARAFES, créé en août 2007 à l’issue de deux ans d’expérimentation, n’a été mis en œuvre qu’à la fin de l’année 2009. Elle rappelle à cet égard que dans son avis du 3 mai 2007, elle avait regretté de ne pas avoir à sa disposition les éléments d’information lui permettant d’émettre un avis pleinement motivé sur le dispositif qui lui était soumis. C’est pourquoi la Commission souligne la nécessité, tant pour le bon exercice de ses missions que pour permettre la mise en œuvre effective des traitements projetés par l’administration, d’évaluer rigoureusement les expérimentations conduites avant de généraliser la mise en œuvre d’un traitement.
Sur l’extension du dispositif aux frontières maritimes et ferroviaires, et aux départements d’outre-mer
La Commission observe que l’extension du dispositif à l’ensemble des points de passage frontalier s’inscrit dans le cadre plus général de l’automatisation des contrôles effectués aux frontières extérieures de l’Union européenne (UE), qui constitue un des objectifs prioritaires de l’UE en matière de sécurité. Elle relève que la France joue un rôle moteur dans ce processus d’automatisation des contrôles aux frontières, avec la mise en œuvre du traitement PARAFE notamment, mais également avec celle du traitement VISABIO ou par l’expérimentation menée à La Réunion dans le cadre du traitement GIDESE.
Dès lors, la Commission considère que le dispositif PARAFE a pour finalité principale l’amélioration des contrôles aux frontières extérieures. Elle prend donc acte de ce que le ministère chargé de l’immigration prévoit de modifier l’article 1er du décret n° 2007-1182, afin de mentionner que ce traitement est destiné « à améliorer et faciliter les contrôles de police aux frontières extérieures ». La Commission prend également acte de ce que le ministère chargé de l’immigration est mentionné comme autorité chargée de sa mise en œuvre, au côté du ministère de l’intérieur. 
Elle relève en outre que le ministère chargé de l’immigration a prévu d’élargir les conditions d’adhésion au programme PARAFE. Ainsi, la Commission prend acte de ce que les conjoints de Français, ressortissants de pays tiers, pourront bénéficier du dispositif, tout comme les ressortissants de pays tiers membres de la famille d’un citoyen de l’UE. Elle observe que cet élargissement nécessite de modifier également la liste des titres et documents d’identité dont doivent disposer les personnes souhaitant s’inscrire au programme, dans la mesure où ces ressortissants peuvent ne pas disposer d’un passeport doté d’une bande de lecture optique.
La liste de ces documents sera ainsi fixée par un arrêté conjoint des ministères de l’immigration et de l’intérieur, qui précisera que les ressortissants de pays tiers devront disposer d’un des titres de séjour suivants : la carte de séjour de membre de famille d’un citoyen de l’UE (article L. 121-3 du CESEDA), la carte de séjour portant la mention « vie privée et familiale » (article L.313-11, 4°) ou la carte de résident (article L.314-9). Ainsi, seuls les conjoints ressortissants de pays tiers en séjour régulier sur le territoire national pourront s’inscrire au programme PARAFE.
En ce qui concerne l’extension aux frontières extérieures maritimes et ferroviaires, il apparaît que les modifications projetées visent à anticiper la mise en œuvre généralisée du dispositif à l’ensemble de ces points de passage frontalier, sans que le calendrier de ces nouveaux déploiements soit précisément fixé, ni que ceux-ci soient mis en œuvre rapidement. Il s’agit ainsi d’éviter, pour les ministères concernés, de nouvelles modifications du décret du 3 août 2007 en fonction de l’avancement de ces nouveaux déploiements.  
Dans la mesure où la mise en œuvre de ces extensions ne modifiera pas les caractéristiques du traitement, et où la finalité d’amélioration et de facilitation des contrôles aux frontières est légitime, la Commission prend acte de ces modifications, qui apparaissent de nature à harmoniser les modalités de contrôle des voyageurs à l’ensemble des points de passage frontalier.
Cependant, elle demande à être informée régulièrement de l’état de déploiement du dispositif sur le territoire national, afin de connaître précisément les modalités effectives de mise en œuvre du traitement PARAFE.
En ce qui concerne l’extension du dispositif aux départements d’outre-mer (DOM), la Commission estime que les articles L. 211-1 et R. 121-1 du code de l’entrée et du séjour des étrangers (CESEDA), qui fixent les conditions de contrôle de l’entrée en France, et les dispositions de l’article 27 de la loi du 6 janvier 1978 modifiée, constituent le fondement juridique adéquat aux modifications apportées au traitement.
Elle rappelle en outre que, dans la mesure où ces départements ne font pas partie de l’espace Schengen et où le système d’information Schengen (SIS) relève exclusivement de la réglementation européenne, le contrôle des frontières d’outre-mer ne permet pas la consultation de ce système. Dès lors, la Commission prend acte de ce que le ministère de l’immigration prévoit la modification de l’article 4 du décret n° 2007-1182, afin que l’interconnexion du traitement PARAFE avec les fichiers de recherche ne concerne que le fichier des personnes recherchées (FPR) dans les DOM.
A cet égard, elle rappelle que l’article 7 du règlement (CE) n° 562/2006 susvisé dispose que les vérifications effectuées aux frontières extérieures sur des personnes jouissant du droit communautaire à la libre circulation peuvent occasionner la consultation, « d’une manière non systématique », des bases de données nationales et européennes. Dans la mesure où toutes les personnes pouvant s’inscrire au programme PARAFE jouissent de ce droit, qui concerne non seulement les citoyens de l’Union, mais également les ressortissants de pays tiers titulaires d’un titre de séjour valide, la Commission estime que la consultation du FPR et du SIS au passage de ces personnes doit être aléatoire.
Sur l’accès des services des douanes au traitement PARAFE
Dans la mesure où certains points de passage frontalier sont contrôlés par les agents des douanes, qui disposent dans le cadre de cette mission de contrôle aux frontières des mêmes attributions que les agents de la police aux frontières, la Commission prend acte de cette nouvelle possibilité d’accès aux données enregistrées dans le traitement PARAFE.
La Commission prend également acte de ce que le projet de décret qui lui est soumis prévoit explicitement une procédure de désignation individuelle et d’habilitation spéciale des agents des douanes pouvant accéder aux données du traitement, par leur chef de service. Dès lors, seuls les agents des douanes habilités à procéder à des contrôles des personnes aux frontières extérieures auront accès au traitement PARAFE. 
Cependant, la Commission souligne qu’aucune précision sur les modalités techniques d’accès de ces services au traitement ne lui a été fournie par le ministère chargé de l’immigration, et demande donc à être rendue destinataire de ces mesures techniques lorsqu’elles auront été arrêtées.
Enfin, s’agissant de l’accès des services des douanes aux informations résultant de l’interconnexion du traitement avec le FPR et le SIS, la Commission rappelle que l’article 67ter du code des douanes dispose expressément que ces agents « sont destinataires des informations enregistrées dans le système d'information Schengen, le fichier des personnes recherchées et le fichier des véhicules volés ». Cet accès n’appelle donc pas d’observation particulière de sa part. 
Sur l’utilisation du passeport biométrique
Le ministère chargé de l’immigration prévoit de permettre aux titulaires de passeport biométrique d’emprunter les sas de passage des frontières PARAFE sans inscription préalable. L’authentification biométrique de ces personnes dans le sas aura lieu par comparaison entre l’empreinte digitale apposée sur le lecteur et une empreinte digitale contenue dans la puce sans contact intégrée dans le passeport. Les empreintes digitales de ces personnes ne seront pas conservées dans le traitement, mais les autres modalités de fonctionnement du dispositif seront inchangées.
La Commission prend acte de la mise en œuvre de cette nouvelle fonctionnalité, qu’elle considère comme plus protectrice des données à caractère personnel des personnes concernées. Elle rappelle à cet égard qu’elle avait considéré dans son avis du 3 mai 2007 que le dispositif PARAFES constituait le cadre adapté pour mettre en place des techniques de reconnaissance de l’identité des individus plus protectrices que l’établissement d’une base de données centralisée des empreintes digitales. La Commission rappelle en outre qu’elle considère comme légitime le recours, pour s’assurer de l’identité d’une personne, à des dispositifs de reconnaissance biométrique dès lors que les données biométriques sont conservées sur un support dont la personne a l’usage exclusif, comme par exemple le passeport biométrique.