AgentPublic/cnil huggingface dataset:
L’Espace des Organismes Partenaires de la Protection Sociale (EOPPS) permet à l’ensemble des partenaires de répondre à une triple finalité de vérification des droits ouverts, de confirmation des données d’identification des personnes et de vérification des informations dont elles disposent dans le cadre de la lutte contre la fraude.
 
Comme le portail intranet PARN, le portail EOPPS permet aux organismes partenaires de vérifier, au cas par cas, les informations figurant dans sa propre base de données, par la consultation des données mises à disposition par la Caisse Nationale d’Assurance Vieillesse.
Conformément à l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision produisant des effets juridiques à l’égard d’une personne ne sera prise sur le seul fondement de la consultation d’EOPPS. 
 
Sur les données 
 
Les catégories de données personnelles accessibles sur l’Espace des Organismes Partenaires de la Protection Sociale correspondent à des données d’identification et de prestations sociales des bénéficiaires.
 
Le projet d’acte réglementaire distingue cinq catégories de données, provenant des traitements de données à caractère personnel mis en œuvre par les différents organismes. 
 
Parmi les catégories de données traitées, trois sont communes aux différents services accessibles via EOPPS : les données d’identification, les données de rattachement et les données de prestations.
Tandis que deux catégories de données sont propres à deux services accessibles via EOPPS : les données économiques et financières dans le service DNA Web et les données relatives à la vie professionnelle de la personne dans le service CCA.
Les données d'identification des bénéficiaires comportent notamment le nom patronymique (d’usage ou marital) et les prénoms, les noms et prénoms du père et de la mère (pour les personnes nées hors de France), le Code certification de l’Etat civil, le sexe, les dates et lieux de naissance, le cas échéant, la mention de la date du décès, le NIR et, éventuellement, l’identifiant de l’établissement concerné, son adresse et son code APE.
 
Les données de rattachement et de mutation inter-régimes comportent notamment le numéro d’identifiant de l’ouvrant droit bénéficiaire, le numéro d’identification propre au Régime d’Assurance Maladie, les identifiants des organismes auxquels un individu est actuellement rattaché, ou a été rattaché dans les cinq dernières années, les dates de rattachement à l’ancien et au nouvel organisme d’assurance maladie servant les prestations de base, les motifs de fin de rattachement, et, le cas échéant, les domaines de risques touchant aux prestations gérées par ces organismes ainsi que la mention que la personne n’est plus bénéficiaire de l’Assurance Maladie.
Les données de prestations qui comportent des droits ou prestations, c'est-à-dire la nature des droits ou prestations ainsi que leur date d’effet, la qualité du bénéficiaire au regard de chacun de ces droits ou prestations, l’état de chacun des droits ou prestations, ainsi que la date d’effet et le motif de cet état, l’adresse déclarée pour l’ouverture du droit ou le versement de la prestation, comportant, le cas échéant, la mention d’incidents sur cette adresse, et les numéros de téléphone et adresses électroniques (s’ils ont été fournis par le bénéficiaire).
 
Les données économiques et financières, qui correspondent au service DNA Web, concernent le bénéficiaire (validité, situation additive, normale ou soustractive du bénéficiaire, code droit de l’avantage, nombre de mois au taux 1, nombre de mois au taux 2, salaire forfaitaire annuel, cotisation versée) et l’employeur (nombre de mois, cotisations et nombre de bénéficiaires à 20%, et nombre de bénéficiaires à 50%, et nombre de bénéficiaires à 100%).
Les données relatives à la vie professionnelle de la personne, qui correspondent au service CCA, concernent les salaires (déclarations nominatives, assurance vieillesse, vignettes de cotisation assurance vieillesse, déclarations spéciales), les périodes assimilées, les salaires autres régimes (CNIEG et CPS Mayotte), les trimestres autres régimes de retraite de bases obligatoires , les trimestres Institutions UE , les majorations assurance, numéro assurance sociales , les décisions commission de recours amiable , les rentes autres régimes assimilés (CFF, CGE, autres).
 
La Commission prend acte qu’en application des articles R 115-1 et suivants du Code de la sécurité sociale, l’ensemble des organismes de protection sociale sont autorisés à utiliser le NIR dans le cadre de leurs missions (décret n°85-1343 du 16 décembre 1985 instituant un système de transfert de données sociales). Pôle Emploi est lui aussi habilité à utiliser ce numéro (comme l’ANPE et les Assedics y étaient eux-mêmes habilités depuis 1987).
 
Sur les durées de conservation
 
Comme le précise l’article 5.1 de la convention signée entre la CNAV et ses partenaires, la conservation des données offertes en consultation sur l’espace EOPPS sont de la responsabilité de la CNAV , tandis que la conservation des données dans le système d’information du partenaire [est] de sa propre responsabilité .
Les durées de conservation des données offertes en consultation sur le portail EOPPS sont les durées déterminées par les actes réglementaires ayant créé les traitements faisant l’objet des différentes consultations sur le portail. Elles varient en fonction de la catégorie visée.
1/ Les données d'identification sont détruites dans la deuxième année à compter du décès, ou cinq années civiles suivant la date de fin de rattachement, ou de la date de fin de droit sur le RNIAM et le RNCPS. Elles sont conservées jusqu’à extinction des droits des ayant-droits pour le SNGI et le DNA.
 
2/ Les informations de mutation inter-régimes donnent lieu à effacement de la mention de l’organisme de base cédant à réception d’un avis de radiation au fichier de l’organisme.
 
3/ Les données de prestations sont détruites dans la deuxième année à compter du décès, ou cinq années civiles suivant la date de fin de rattachement.
 
4/ Les données économiques et financières (DNA Web) sont conservées jusqu’à extinction des droits des ayant-droits.
 
5/ Les données relatives à la
vie professionnelle de la personne (CCA) sont conservées jusqu’à extinction des droits des ayant-droits.
 
Sur les destinataires
 
Les destinataires des données accessibles sur le portail EOPPS sont les agents individuellement désignés des partenaires préalablement identifiés dans le cadre du traitement PARN :
- l’Agence centrale des organismes de Sécurité sociale (ACOSS), 
- la Caisse Nationale des Allocations Familiales (CNAF),
- la Caisse Nationale d’Assurance Maladie des Travailleurs Salariés (CNAMTS), 
- la Caisse Centrale de la Mutualité Sociale Agricole (CCMSA), 
- le Fonds d'indemnisation des victimes de l'amiante (FIVA).
L’application EOPPS permettra également à de nouveaux partenaires d’accéder aux services RNCPS, RFO et EIRR du portail Intranet, dans la limite de leurs habilitations. Ces nouveaux partenaires sont :
- des organismes de l’assurance chômage (Pole Emploi), 
- des organismes de protection sociale des ministres du culte ;
- des organismes du régime agricole ; 
- des organismes du régime des professions non salariées agricoles ; 
- des organismes gérant le régime des fonctionnaires et des agents non titulaires de l’Etat ; 
- des organismes des régimes spéciaux ; 
- des organismes gérant les régimes divers de retraites ; 
- des organismes de caisses de congés payés ; 
- des organismes mutualistes délégataires de la CNAMTS ; 
- des sections locales mutualistes des étudiants ; 
- des sections locales mutualistes des fonctionnaires hospitaliers ; 
- des sections locales mutualistes des fonctionnaires territoriaux ; 
- des sections locales mutualistes des fonctionnaires territoriaux et hospitaliers ; 
- d’autres mutuelles relevant de l’article L 211-4.
Conformément à l’article 4 de l’acte réglementaire, la liste complète et exhaustive de ces organismes est rendue accessible sur le site www.cnav.fr.
A cet égard, la Commission prend en considération que les partenaires de la CNAV ne pourront déroger aux règles fixées dans les actes réglementaires instituant les différents traitements et limitant le nombre des organismes consultants aux destinataires clairement identifiés par décret (RNCPS, EIRR) ou dûment habilités (SNGI). 
 
Sur la sécurité
 
La Commission observe que l’application EOPPS est susceptible de permettre l’accès à des données à caractère personnel concernant l’ensemble de la population française et les personnes résidant de façon stable sur le territoire français. 
 
Elle relève également que le nombre d’agents pouvant accéder au répertoire est susceptible d’être particulièrement élevé. 
 
La protection physique des locaux de la CNAV présente des garanties acceptables en termes de sécurité physique et logique.
 
Compte tenu du nombre très important d’agents susceptibles d’accéder à l’ensemble des applications référencées par EOPPS, la Commission considère que le suivi et le contrôle des habilitations constituent un point essentiel pour garantir la sécurité. A ce sujet, elle prend acte que l’ensemble des habilitations sont centralisées par la CNAV.
 
Au sein de chaque organisme, seuls les agents habilités à contrôler l’identification des personnes et à organiser la lutte contre la fraude ont accès au portail.
 
Les modalités de consultation d’EOPPS sont fixées par la convention signée par la CNAV avec chaque organisme partenaire.
La Commission indique que, pour permettre de détecter d’éventuelles tentatives d’authentification frauduleuses, les données de connexion seront enregistrées dans un journal permettant notamment la remontée d’alertes aux techniciens habilités de la CNAV. Ce journal sera conservé un an.
 
Ces données de connexion comprendront la date, l’heure, l’information, l’adresse IP, l’authentification unique et le message lié à la connexion (échec à la connexion, échec à l’authentification, tentative de connexion, tentative de changement de mot de passe, déconnexion). 
 
 
Sur les droits des personnes
 
Concernant l’article 32 de la loi du 6 janvier 1978 modifiée en 2004, l’information des personnes sera faite par voie d’affichage et par une mention spécifique sur le site Internet des organismes partenaires.
Le droit d’accès pourra être exercé auprès de la personne en charge des habilitations dans leur organisme et auprès de la CNAV.
Le droit de rectification pourra être exercé, pour les données communes d’identification, auprès de la CNAVTS et, pour les données centralisées de rattachement et les données de prestations, auprès de l’organisme servant la prestation concernée.
Conformément au troisième alinéa de l’article 38 de la loi du 6 janvier 1978 modifiée, le droit d’opposition ne s’applique pas au présent traitement.
Sur la mise en place d’un bilan d’EOPPS
 
La Commission demande qu’un bilan annuel de la mise en œuvre d’EOPPS permette, en partenariat avec la CNAVTS :
- de mesurer les résultats obtenus en matière de contrôle et de lutte contre la fraude ; 
- de visualiser le schéma des procédures d’habilitations au sein des organismes partenaires, et le nombre d’agents habilités à consulter EOPPS ; 
- de dresser un tableau récapitulatif des demandes de consultation des différents organismes ; 
- de dresser un état des lieux relatif aux actions menées pour informer les personnes de leurs droits.
 
 
 
Le Président,
Alex TÜRK
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2016-186C du 20 juin 2016 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de […] ;
Vu les procès-verbaux de contrôle n° 2016-186/1 du 14 septembre 2016, n° 2016-186/2 du 15 septembre 2016, n° 2016-186/3 du 28 septembre 2016, n° 2016-186/4 du 29 septembre 2016, n° 2016-186/5 du 9 novembre 2016, n° 2016-186/6 du 10 novembre 2016, n° 2016-186/7 du 8 mars 2017 et n° 2016-186/8 du 9 mars 2017 ;
Vu les autres pièces du dossier ;
I. L’historique de la procédure
Le 21 avril 2016, la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ), après avoir pris connaissance du projet de rapport de la Cour des comptes portant sur les données à caractère personnel gérées par X relevant une sécurité insuffisante des données traitées, rendu public le […], a retenu au nombre des thématiques de son programme annuel de contrôles le […] .
 
Le […] a été créé par la loi n° 98-1194 du 23 décembre 1998 de financement de la sécurité sociale. Aux termes de l’article L161-28-1 du code de la sécurité sociale, il contribue :
 1° à la connaissance des dépenses de l’ensemble des régimes d’assurance maladie par circonscription géographique, par catégorie de professionnels responsables de ces dépenses et par professionnel ou établissement ;
2° à la transmission en retour aux prestataires de soins d’informations pertinentes relatives à leur activité et à leur recette, et s’il y a lieu à leurs prescriptions ;
3° à la définition, à la mise en œuvre et à l’évaluation des politiques de santé publique ;
4° à la constitution du système national des données de santé (…) . Il est alimenté par les organismes gérant un régime de base d’assurance maladie .
Le traitement est mis en œuvre dans les conditions prévues à l’arrêté du 19 juillet 2013, pris après avis de la CNIL, modifié par l’arrêté du 6 octobre 2016. L’article 2 précise ainsi que les traitements mis en œuvre dans le cadre du […] répondent à quatre finalités : l’amélioration de la qualité des soins, la meilleure gestion de l’assurance maladie, la meilleure gestion des politiques de santé et la transmission aux prestataires de soins des informations pertinentes relatives à leur activité, à leurs recettes et, s’il y a lieu, à leurs prescriptions.
L’article 3 dresse la liste des données traitées qui comprend notamment des données relatives à l’assuré et au bénéficiaire des remboursements (sexe, année et mois de naissance, département et commune de résidence et, le cas échéant, date de décès), les informations relatives aux prestations fournies (nature détaillée des actes, dates de soins et de remboursement, mode de prise en charge, informations relatives au parcours de soin et à l’identification du professionnel) ainsi que des informations relatives à l’activité des établissements de santé.
L’article 5 dispose, quant à lui, que la gestion technique [de  […] ] est confiée à X .
En application de la décision n° 2016-186C du 20 juin 2016 de la Présidente de la CNIL, des missions de contrôle sur place ont été diligentées entre les mois de septembre 2016 et mars 2017 afin de vérifier la conformité du […] à la loi du 6 janvier 1978 modifiée (ci-après Loi Informatique et Libertés ).
Les missions de vérification ont conduit les délégations de contrôle à se déplacer au sein des locaux de X à Paris, du centre d’hébergement de données de […], de la société Y – prestataire chargé d’assurer la maintenance évolutive et corrective du […] – et de Z. Des éléments ont par ailleurs été transmis par X le 29 juillet 2016 en réponse à un questionnaire adressé par la CNIL le 11 juillet de la même année dans le cadre d’un contrôle sur pièces (cf. point 1. de l’annexe de la mise en demeure détaillant les constats et informations obtenues).
X, au vu des éléments en possession de la CNIL, est considérée comme responsable de traitement […] dans la mesure où, en plus d’assurer la gestion technique de […] conformément à l’article 5 de l’arrêté du 19 juillet 2013, elle est, comme elle l’indique elle-même, responsable du respect des règles de protection des données (au sens de la directive 95/46/CE) mais également (…) avec une grande marge d’autonomie, du fonctionnement opérationnel de  […] (dont l’accomplissement des formalités CNIL) .
Elle a, par ailleurs, fourni la liste des personnes habilitées à accéder à tout ou partie du […] . Il s’agit notamment des caisses nationales des régimes d’assurance maladie, des directions régionales du service médical, des directeurs coordinateurs de la gestion du risque du régime général, des médecins des agences régionales de santé, de Santé publique France, de la Haute Autorité de Santé, de l’Agence nationale de sécurité du médicament et des produits de santé, des ministères de la santé, de l’agriculture et de l’économie et des finances, de l’institut national des données de santé ainsi que des organismes de recherche tels que le centre national de la recherche scientifique ou l’institut national de la santé et de la recherche médicale.
II. Les manquements au regard des dispositions de la loi du 6 janvier 1978 modifiée
Les réponses de X au questionnaire de la CNIL ainsi que les missions de vérification effectuées les 14, 15, 28 et 29 septembre dans les locaux de X à […], les 9 et 10 novembre 2016 dans ses locaux à […], le 8 mars 2017 auprès de la société Y puis le 9 mars 2017 au sein de Z ont mis en lumière de nombreux manquements à la sécurité des données à caractère personnel traitées dans le cadre du […] .
Les multiples insuffisances en termes de sécurité concernent, notamment, la pseudonymisation des données, les procédures de sauvegarde, l’accès aux données par les utilisateurs du […] et par des prestataires, la sécurité des postes de travail des utilisateurs du […] , les extractions de données individuelles du […] ainsi que la mise à disposition d’extractions de données agrégées du […] aux partenaires (cf. annexe).
L’ensemble de ces faits constituent un manquement à l’article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée disposant que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il est en outre rappelé qu’en application des articles 226-17 et 226-24 du code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est notamment puni d’une peine d’amende pouvant atteindre 1.500.000 €.
 
 
En conséquence, X, sise […] est mise en demeure, sous un délai de trois 
mois (3 mois) à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
prendre toute mesure pour garantir la sécurité et la confidentialité des données à caractère personnel traitées et en particulier, celles visées en annexe de la présente mise en demeure ;
· justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
 
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 15 février 2018 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PÉRÈS, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2018-006 du 08 février 2018 de la Présidente de la Commission mettant en demeure X.
A adopté la délibération suivante :
Par décision du 08 février 2018, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, décidé de mettre en demeure X, de faire cesser sous un délai de trois mois à compter de la notification de ladite décision, le manquement à l’obligation d’assurer la sécurité et la confidentialité des données à caractère personnel traitées dans le cadre du […] .
 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 15 février 2018.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la particulière sensibilité des données traitées par X, à savoir les actes médicaux, feuilles de soins et séjours hospitaliers qui révèlent les données de santé de patients très hautement identifiables par la présence de multiples informations : âge, code postal, date de soins, médecin traitant etc.
 
En outre, le bureau estime que le risque pour la sécurité des données est particulièrement élevé compte tenu du volume de données enregistrées dans […] et du nombre important de destinataires des données.
Ainsi, la Cour des comptes, dans son rapport sur les données personnelles de santé gérées par l’assurance maladie, rendu public le […], expose que :  Chaque acte médical (près de 500 millions par an), chaque feuille de soins (plus de 1,2 milliard par an), chaque séjour hospitalier (plus de onze millions pour le seul champ MCO) sont ainsi documentés par une ou plusieurs lignes renseignant les consommations remboursées à des assurés sociaux . 
 
Compte tenu de ces éléments et des nombreuses insuffisances relevées par la CNIL en termes de sécurité des données, le bureau considère que le manquement à l’article 34 de la loi du 6 janvier 1978 modifiée, retenu dans la décision n° MED-2018-006 de la Présidente de la CNIL, est d’une particulière gravité.
 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision précitée n°MED-2018-006, hors son annexe détaillant les manquements techniques constatés.
 
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si X se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
 
La décision de mise en demeure et la présente délibération du bureau seront anonymisées dans un délai de deux ans à compter de leur publication.
 
La Présidente
 Isabelle FALQUE-PIERROTIN