AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre du travail d’une demande d’avis concernant un projet de décret relatif à la communication au système d'information du compte personnel de formation des informations relatives aux titulaires des certifications professionnelles et des certifications et habilitations enregistrées aux répertoires nationaux;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code monétaire et financier, notamment son article L. 518-3 ;
Vu le code du travail, notamment ses articles L. 6113-8, L. 6323-8, L. 6353-10 ainsi que les articles R. 6323-31 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l’application des articles 9, 10, et 12 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-1049 du 11 octobre 2019 portant modification du traitement automatisé de données à caractère personnel dénommé Système d'information du compte personnel de formation ;
Vu la délibération n° 2014-434 du 23 octobre 2014 portant avis sur un projet de décret relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé système d’information du compte personnel de formation (SI-CPF) ;
Vu la délibération n° 2019-094 du 11 juillet 2019 portant avis sur un projet de décret modifiant le décret n° 2014-1717 du 30 décembre 2014 portant création du compte personnel de formation ainsi que d’un projet d’arrêté listant les données à caractère personnel collectées et les destinataires des informations enregistrées dans le SI-CPF ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant :
 
La Commission a été saisie, en urgence, par la ministre du travail, sur le fondement de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée, d’une demande d’avis sur un projet de décret relatif à la communication au système d’information du compte personnel de formation (SI-CPF) des informations relatives aux titulaires des certifications professionnelles et des certifications et habilitations enregistrées aux répertoires nationaux.
L'article L. 6113-8 du code du travail prévoit en effet l’obligation, pour les ministères et les organismes certificateurs, de communiquer au SI-CPF certaines informations relatives à l’obtention, des certifications professionnelles enregistrées au répertoire national des certifications professionnelles (RNCP) et des certifications et habilitations enregistrée au répertoire spécifique des certifications et des habilitations (RSCH).
Cette obligation permet d’une part, aux usagers d’avoir accès à l’ensemble des diplômes, attestations et certifications obtenus dans le cadre de formation initiale, en alternance ou continue, dans un environnement dématérialisé unique, et d’autre part, aux pouvoirs publics de disposer de données statistiques consolidées au niveau national en matière de certification professionnelle.
L'article L. 6113-8 renvoie à un décret en Conseil d'Etat le soin de fixer les modalités de communication de ces informations.
C’est dans le cadre de ce projet de décret que la Commission a été saisie.
Pour ce faire, l’article 1er du projet du décret introduit quatre nouveaux articles numérotés de R. 6113-34 à R. 6113-37 au sein d’une section intitulée Communication des données relatives aux titulaires des certifications .
L’article R. 6113-34 projeté recense les catégories de données à caractère personnel susceptibles d’être communiquées, soit celles relatives à l’identification des personnes, ainsi qu’aux certifications professionnelles, aux attestations de validation de blocs de compétences au sens de l’article L 6113-1 du code du travail, et aux certifications ou habilitations obtenues.
S’agissant des données relatives à l’identification des personnes, la Commission relève que la rédaction actuelle du 12° de la partie F de l’article 2 du décret n° 2019-341 du 19 avril 2019 susvisé ne permet pas l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).
Interrogé par la Commission, le ministère a précisé que l’utilisation de ce numéro n’est pas envisagée dans le cadre des transmissions des informations entre les organismes de formation et le SI CPF.
S’agissant des données relatives aux attestations et certifications professionnelles, le ministère a indiqué que ne seront transmises que les données permettant d’identifier la certification obtenue, sa date de délivrance ainsi que l’organisme qui l’a délivrée, à l’exclusion des modalités d’obtention de la certification par le titulaire (en session normale ou de rattrapage, les appréciations du jury, etc.).
L’article R. 6113-35 projeté prévoit que la communication des données devra intervenir dans un délai de 3 mois à compter de la date de délivrance des certifications professionnelles, des attestations de validation de blocs de compétences ou de certifications ou habilitations, ce qui n’appelle pas d’observation de la part de la Commission.
L’article R. 6113-36 projeté décrit le mécanisme de sanctions que la Caisse des dépôts et consignations (CDC) pourra mettre en œuvre à l’égard des ministères et organismes de formation en cas de manquement constaté à l’obligation de transmission de ces informations.
Bien que ces dispositions ne concernent pas, en tant que telles, le traitement de données à caractère personnel, la Commission relève qu’il n’est pas prévu, en l’état, de mécanisme spécifique permettant aux usagers de pallier à la carence éventuelle de la transmission de telles données.
La Commission rappelle que les personnes concernées doivent être en mesure de rectifier ou de compléter les données erronées ou incomplètes qui les concernent, notamment en cas de manquement des organismes de formation à leur obligation de communiquer ces données au SI-CPF.
L’article R. 6113-37 projeté prévoit qu’un arrêté pris par le ministre chargé de la formation professionnelle viendra préciser les données transmises dans le cadre du dispositif projeté, ainsi que les modalités de leur communication au SI CPF.
A cet égard, la Commission rappelle que toute transmission de données à caractère personnel doit assurer la confidentialité et l’intégrité des données transmises. Dans le cas d’une transmission par voie électronique, les données qui transitent sur des réseaux ouverts au public doivent faire l’objet de mesures de chiffrement et d’authentification de l’émetteur et du destinataire. Dans le cas de transmission par voie papier, des mesures de sécurité physiques doivent être mises en œuvre.
Le décret projeté vise également à modifier l’article 
R. 6323-36
, existant, du code du travail, qui prévoit dans sa rédaction issue du décret n°2019-1049 du 11 octobre 2019, la liste des catégories de destinataires susceptibles d’accéder aux données traitées dans le cadre du SI-CPF.
La modification projetée ajoute une nouvelle catégorie de personnes à cette liste qui visera dorénavant les personnes et les agents habilités de :
la CDC (en sa qualité de responsable de traitement SI-CPF) ;
des organismes financeurs ;
et des institutions et organismes chargés du conseil en évolution professionnelle mentionnés à l'article L. 6111-6 du code du travail.
La Commission rappelle que l’accès de ces organismes auxdites données ne devra se faire que dans le strict respect des finalités, notamment statistiques, poursuivies par le traitement projeté. En particulier, l’accès à ces données à des finalités différentes, notamment dans le cadre d’appréciation des suites à accorder à une demande de financement de formation, n’est pas couvert par la rédaction actuelle du projet de décret.
Enfin, elle rappelle que les modifications apportées au SI-CPF doivent être portées à la connaissance des personnes concernées dans les conditions prévues par les articles 13 et 14 du RGPD, en particulier sur les modalités d’exercice de leurs droits.
 
Pour la Présidente,
La Vice-Présidente déléguée
 
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 66-II ;
Vu la loi n° 98-1194 du 23 décembre 1998 de financement de la sécurité sociale (CSS), créant le système national d'information interrégimes de l'Assurance maladie (SNIIRAM) ;
Vu la loi n° 2019-774 du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé, notamment son article 41 ;
Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé système national des données de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 19 juillet 2013 modifié relatif à la mise en œuvre du système national d'information interrégimes de l'Assurance maladie ;
Vu l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au système national des données de santé (SNDS) ;
Vu l'arrêté du 17 juillet 2017 relatif au référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études ;
Vu la délibération n° 2019-039 du 11 avril 2019 portant adoption d'un référentiel portant sur la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement de l'échantillon généraliste des bénéficiaires (EGB) et des bases de données thématiques appelées datamarts du système national d'information interrégimes de l'Assurance maladie (SNIIRAM), présentant un faible risque d'impact sur la vie privée et abrogeant la délibération n° 2018-134 du 12 avril 2018 ;
Vu la saisine de la Plateforme des données de santé en date du 28 avril 2020 pour homologation d'une procédure simplifiée en application de l'article 66 de la loi n° 78-17 du 6 janvier 1978 susvisée (ci-après la loi Informatique et Libertés ).
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a été saisie le 28 avril 2020 par la Plateforme des données de santé d'une demande de modification du référentiel portant sur la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement de l'échantillon généraliste des bénéficiaires (ci-après, EGB) et des bases de données thématiques appelées datamarts du système national d'information interrégimes de l'Assurance maladie (SNIIRAM), présentant un faible risque d'impact sur la vie privée, établi par la délibération n° 2019-039 du 11 avril 2019.
Le présent référentiel porte sur la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement des données de l'EGB du SNIIRAM, composante du système national des données de santé (SNDS).
L'EGB du SNIIRAM est un échantillon constitué par la Caisse nationale de l'assurance maladie (CNAM) qui concerne 1/97e de la population couverte par l'assurance maladie en France. L'EGB contient des informations sur les caractéristiques sociodémographiques et médicales des bénéficiaires et les prestations de soins qu'ils ont reçues. L'utilisation de cet échantillon permet notamment de mieux connaître et comprendre le recours aux soins, les trajectoires de soins et les dépenses de santé des assurés sur une période.
Sont également constituées à partir du SNIIRAM des bases de données thématiques de données agrégées appelées datamarts orientées vers le suivi des dépenses (Damir) ou l'analyse de l'offre de soins (Amos), ainsi que des tableaux de bord sur la biologie et la pharmacie. Ces jeux de données sont inclus dans le champ d'application du présent référentiel.
Conformément aux dispositions du troisième alinéa de l'article 66-II de la loi Informatique et Libertés , des jeux de données de santé présentant un faible risque d'impact sur la vie privée peuvent faire l'objet d'une mise à disposition en vue de leur traitement dans des conditions préalablement définies par un référentiel, sans que l'autorisation prévue à l'article 76 de la loi précitée soit requise.
La Commission rappelle, à titre liminaire, que le SNIIRAM étant une composante du SNDS, l'ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable aux traitements de données issues de l'EGB et, en particulier :
l'interdiction d'utiliser les données du SNDS pour les finalités décrites à l'article L. 1461-1 V du code de la santé publique (finalités interdites) ;
le respect du référentiel de sécurité applicable au SNDS, fixé par l'arrêté du 22 mars 2017 ;
le principe de transparence prévu à l'article L. 1461-3 II du code de la santé publique. La Commission rappelle sur ce point que le cadre juridique permettant la mise à disposition des données du SNDS et de ses composantes est conçu de façon à rendre compte de leur utilisation à la société civile. A cette fin, le code de la santé publique subordonne l'accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé de plusieurs éléments par le responsable de traitement, avant et après la réalisation des études. Ainsi, le responsable du traitement s'engage à enregistrer auprès du répertoire public tenu par la Plateforme des données de santé les études réalisées dans le cadre de ce référentiel. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte avant le début des études, s'accompagne de la transmission à la Plateforme des données de santé d'un dossier comportant :
	- le protocole, incluant la justification de l'intérêt public, ainsi qu'un résumé, selon le modèle mis à disposition par la Plateforme des données de santé ;
	- la déclaration d'intérêts du responsable du traitement, en rapport avec l'objet des études ;
	- à la fin des études, la méthode et les résultats obtenus en vue de leur publication ;
	- la conformité de l'enregistrement du traitement et de la transmission des résultats aux modalités définies par la Plateforme des données de santé.
L'information des personnes concernées quant à la réutilisation possible de leurs données et les modalités d'exercice de leurs droits, devront être conformes aux dispositions législatives et règlementaires applicables aux traitements de données à caractère personnel du SNDS.
Décide :
La description et les garanties de procédure permettant la mise à disposition des données à caractère personnel issues de l'EGB du SNDS définies par la Commission sont les suivantes :
Traitements susceptibles d'être examinés uniquement par la Plateforme des données de santé
Les conditions d'accès définies par le présent référentiel s'appliquent aux traitements mis en œuvre à des fins de recherche, d'étude ou d'évaluations dans le domaine de la santé, justifiés par l'intérêt public, et pour la réalisation desquels seul un accès à l'EGB et/ou aux datamarts et tableaux de bord du SNIIRAM est nécessaire.
Sont susceptibles de bénéficier d'une approbation unique de la Plateforme des données de santé les traitements qui respectent les conditions cumulatives suivantes :
le traitement est réalisé au sein du portail sécurisé de la CNAM et ne prévoit pas la constitution d'un système fils du SNDS tel que défini à l'arrêté du 22 mars 2017 précité ;
aucun croisement de plusieurs identifiants potentiels, tels que définis par les dispositions réglementaires applicables au SNDS, n'est réalisé ;
la durée d'accès au portail n'excède pas vingt-quatre mois. Cette durée peut être prolongée de vingt-quatre mois maximum sur demande motivée du responsable de traitement.
Le traitement répond à l'une des finalités suivantes :
	- évaluation comparative de l'offre de soins ;
	- évolution des pratiques de prise en charge ;
	- analyses comparatives des activités de soins ;
	- description et analyse des pathologies et parcours de soins des patients ;
	- études épidémiologiques et/ou médico-économiques dont les études pour la préparation des dossiers de discussions et réunions avec les autorités et comités compétents, ou les études à des fins de surveillance ;
	- études de faisabilité dans le cadre d'une recherche impliquant ou n'impliquant pas la personne humaine.
Modalités d'accès spécifiques à certaines catégories de responsables de traitements :
Afin de bénéficier des présentes conditions de mises à disposition de l'EGB et des datamarts , dans l'hypothèse où le traitement est réalisé par des personnes produisant ou commercialisant des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique ou les organismes mentionnés au 1° du A et aux 1°, 2°, 3°, et 6° du B de l'article L. 612-2 du code monétaire et financier ainsi que les intermédiaires d'assurance mentionnés à l'article L. 511-1 du code des assurances, ces derniers sont tenus de recourir à un laboratoire de recherche ou à un bureau d'études mentionnés à l'article L. 1461-3 du code de la santé publique.
Examen par la Plateforme des données de santé
La Plateforme des données de santé se prononce au regard des éléments suivants :
la justification apportée par le responsable de traitement pour démontrer la pertinence scientifique du projet ;
la finalité d'intérêt public poursuivie par le traitement ;
la durée de l'accès au portail pour le traitement envisagé, qui doit être limitée à la durée nécessaire à la réalisation de la recherche, l'étude ou l'évaluation ; et, le cas échéant, la justification de la demande de prolongation de cette durée adressée par le responsable du traitement ;
le respect des exigences législatives applicables au SNDS et l'engagement du responsable de traitement sur le respect du paragraphe 5 Accès aux données du référentiel de sécurité précité applicable au SNDS ;
le cas échéant, le respect des modalités d'accès aux données prévues par le référentiel déterminant les critères de confidentialité, d'expertise et d'indépendance pour les laboratoires de recherche et bureaux d'études (recours à un laboratoire de recherche ou à un bureau d'études pour certaines catégories d'acteurs).
Procédure d'accès
La demande d'accès est adressée à la Plateforme des données de santé dans les mêmes conditions que celles prévues pour la transmission du dossier de demande d'autorisation de recherche, étude ou évaluation dans le domaine de la santé prévu à l'article 76 de la loi Informatique et Libertés .
La Plateforme des données de santé notifie sa décision au demandeur dans un délai de quinze jours ouvrés, à compter de la réception d'un dossier complet. Sans réponse de la part de la Plateforme des données de santé au terme du délai de quinze jours ouvrés, la demande est réputée approuvée.
La Plateforme des données de santé peut contacter le demandeur pour tout complément d'information si nécessaire. Le délai d'approbation est suspendu dans l'attente des éléments complémentaires.
Dans le cas où la Plateforme des données de santé ne s'estime pas en mesure de se prononcer au vu des éléments constitutifs du dossier, elle peut décider que le traitement envisagé est soumis à la procédure complète selon les modalités prévues aux articles 72 à 79 de la loi informatique et libertés modifiée et en informe le demandeur. Après accord de ce dernier, la Plateforme des données de santé saisit le CESREES pour avis, puis la Commission nationale de l'informatique et des libertés pour autorisation, dans le respect des dispositions de la loi Informatique et Libertés .
Transparence
Sans préjudice du dispositif de transparence prévu par les dispositions législatives et réglementaires applicables aux traitements de données à caractère personnel du SNDS, la Plateforme des données de santé informe au moins une fois par an la Commission des approbations délivrées dans les conditions décrites dans le cadre du présent référentiel ainsi que des caractéristiques des traitements mis en œuvre.
La délibération n° 2019-039 du 11 avril 2019 portant adoption d'un référentiel portant sur la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement de l'EGB et des bases de données thématiques appelées datamarts du SNIIRAM, présentant un faible risque d'impact sur la vie privée et abrogeant la délibération n° 2018-134 du 12 avril 2018, est abrogée.
Le présent référentiel portant sur la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement de l'EGB et des bases de données thématiques appelées datamarts du SNIIRAM, présentant un faible risque d'impact sur la vie privée, entre en vigueur le lendemain de sa publication au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
 
Saisie par le ministre des solidarités et de la santé d’une demande d’avis concernant un projet de décret relatif à la recentralisation du revenu de solidarité active à la Réunion et du revenu de solidarité à la Réunion et en Guyane ;
 
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le Code de l’action sociale et des familles, notamment ses articles L. 522-1 et suivants ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2019-015 du 21 février 2019 portant avis sur un projet de décret relatif aux modalités d’échanges de flux pour la mise en œuvre du revenu de solidarité active en Guyane et à Mayotte ;