AgentPublic/cnil huggingface dataset:
La Commission prend acte que le Gouvernement s’est engagé à modifier l’avant-dernier alinéa de l’article 2 afin de préciser que « ces critères ne sont pas transmis à la CNAM-TS par les organismes et les employeurs mentionnés au 1° du I de l’article 1er », et non « au a) du 1° du I de l’article 1er ».
La Commission estime, en tout état de cause, que dans la mesure où ces données ne sont ni transmises ni enregistrées dans le traitement, cet article n’a pas à figurer dans le projet de décret autorisant le traitement, conformément aux dispositions de l’article 29 de la loi du 6 janvier 1978 modifiée qui énumère les éléments à faire figurer dans les actes autorisant la création d’un traitement. 
Sur les données traitées
Selon le projet de décret, seront transmises à la CNAM-TS 
1) les données d’identification (comprenant les nom, prénom et NIR des bénéficiaires), 
2) les codes de régime d’affiliation et de l’organisme gestionnaire des bénéficiaires, 
3) les adresses de certains bénéficiaires non encore connues de la CNAM-TS, détenues par les autres régimes obligatoires d’assurance maladie (Mutualité Sociale Agricole, Régime Social des Indépendants…) et par d’autres organismes de sécurité sociale tels que l’ACOSS,   ainsi que par les employeurs de personnes définies comme prioritaires par l’Etat en raison de leur activité professionnelle (professionnels de santé, personnels de crèches…).
La Commission observe que la collecte des données d’identification (NIR, nom et prénom et date de naissance) ainsi que de l’adresse est pertinente au regard des finalités du traitement et des modalités d’organisation de la campagne. 
En ce qui concerne le code du régime d’affiliation et de l’organisme gestionnaire, la seule justification de la collecte de cette donnée est que la base vaccination n’étant pas remise à jour, si la personne vaccinée à contacter a changé d’adresse, seul le régime d’affiliation peut la recontacter.  La Commission considère que dans ces cas qui devraient être rares, les autorités sanitaires pourraient, conformément à l’article R.161-37 du Code de la sécurité sociale et à l’arrêté du 22 octobre 1996 relatif au Répertoire National Interrégimes des bénéficiaires de l'Assurance Maladie, (RNIAM)  consulter  ce répertoire qui comporte, avec une mise à jour en temps réel, le NIR, le code régime et l’organisme d’assurance maladie de rattachement. Dès lors, la Commission estime que cette information n’est pas pertinente et ne doit pas figurer dans la base.
La Commission prend acte qu’au regard de la finalité de suivi des vaccinations, et notamment de pharmacovigilance, les informations relatives au produit, aux dates de vaccination et à l’identification du centre et du médecin responsable de la vaccination sont pertinentes. Elle relève qu’aucune donnée relative au suivi des effets indésirables ne sera ajoutée au traitement, et donc qu’aucune donnée de santé particulièrement sensible, telle que le fait d’être atteint d’une affection de longue durée, n’est conservée. 
Sur la durée de conservation
Les données seront conservées jusqu’au 31 décembre 2012 afin d’assurer la  pharmacovigilance ( notamment suivi des lots, signalement des éventuels effets indésirables) puis archivées. 
En outre, les informations relatives à l’identification des agents ayant accédé à la base nationale, ainsi que les dates et heures de ces accès, seront conservées pendant un an à compter de chaque accès.
La Commission constate que la durée de conservation des données est proportionnée aux finalités pour lesquelles elles sont collectées et traitées. 
Sur les destinataires des données
Le projet de décret identifie trois types de destinataires. 
Tout d’abord, pourront consulter la base vaccination les médecins traitants qui examineront leurs patients présentant des symptômes grippaux afin de vérifier si la personne a été vaccinée.
Dans la mesure où ces médecins ne pourront avoir accès qu’aux données concernant les patients qu’ils suivent, la Commission recommande que l’article 4 du projet de décret  précise  que les médecins traitants seront destinataires des données « dans le cadre du suivi médical de leur patient ». 
En second lieu, les agents individuellement habilités des organismes de l’ensemble des régimes obligatoires d’assurance maladie pour leurs ressortissants pourront également consulter la base vaccination à des fins notamment d’édition de bons (par exemple, en cas de perte).
Enfin, les agents individuellement habilités des autorités sanitaires en charge de l’organisation de la vaccination (centres de vaccination) pourront accéder à la base afin de vérifier l’état vaccinal des personnes qui se présentent au centre ou d’éditer à titre exceptionnel des bons de vaccination. 
Sur l’établissement de statistiques et l’anonymisation des données
Le projet de décret prévoit que des tableaux de bord permettant d’assurer le suivi du taux de couverture vaccinale soient fournis aux autorités sanitaires en charge de la gestion et du suivi du dispositif de vaccination et que les informations relatives au suivi de la vaccination mentionnées au 4° de l’article 3 soient mises à disposition de l’Agence française de sécurité sanitaire des produits de santé et de l’Institut de veille sanitaire. Or l’article 3-4° d/ mentionne les nom et prénom du médecin responsable de la vaccination. La Commission n’a pas reçu, à ce jour, de raisons convaincantes justifiant cette transmission . La Commission estime que la mise à disposition de ces données à des fins d’études statistiques et épidémiologiques est parfaitement légitime. Elle demande toutefois à avoir connaissance des modalités de cette mise à disposition et en particulier des procédures mises en œuvre pour assurer l’anonymisation des données d’identification. 
Sur les sécurités
Dans la mesure où cette base de données centralisée a vocation à concerner l’ensemble de la population résidant sur le territoire français et comportera non seulement les données d’identification des personnes mais aussi leur NIR, leur adresse et des  données sur la vaccination) il importe que toutes mesures soient prises pour en garantir la confidentialité.
Or, en raison  de l’ampleur de l’opération et de l’impossibilité pour la CNAM-TS de mobiliser dans les temps impartis les moyens humains et matériels nécessaires, la CNAM-TS fait appel à un prestataire extérieur qui assurera la numérisation et le vidéocodage des bons de vaccination. Les données ainsi produites qui ne comporteront pas de données de santé particulièrement sensibles seront intégrées dans un fichier géré sur des serveurs qui sont la propriété de la CNAM-TS, mais hébergés provisoirement chez un sous-traitant du prestataire. Elle relève que cette activité de sous-traitance n’est pas soumise à la procédure d’agrément ministériel prévu par l’article L.1111-8 du code de la santé publique dans la mesure où elle est réalisée à l’initiative de la CNAM-TS, par ailleurs propriétaire des serveurs d’hébergement. 
Dès lors et sans méconnaître l’urgence qui s’attache à la mise en œuvre rapide de ce système d‘information, la Commission appelle l’attention du Gouvernement sur la nécessité de s’assurer tant par voie contractuelle que par un contrôle permanent des opérations de sous- traitance du respect des mesures de sécurité prévues pour éviter toute divulgation des données.
A cet égard, ayant procédé dans les brefs délais d’instruction qui lui étaient impartis à l’analyse des éléments de sécurité qui lui ont été communiqués à sa demande par le Ministère et par la  CNAM-TS, elle estime devoir formuler les constats et observations suivants.
La Commission relève que le contrat de prestations comporte une clause de confidentialité par laquelle le prestataire s’engage à prendre toutes mesures pour éviter la divulgation des données qui lui sont confiées, notamment restituer l’ensemble de la documentation remise par la CNAM-TS à l’expiration du marché et ne conserver aucune copie des documents et supports d’information, ne pas utiliser les documents et informations traitées à des fins autres que celles du marché, ne pas communiquer ces documents à d’autres personnes morales ou non, insister auprès de son personnel sur la particulière sensibilité et le caractère personnel et médical des données et rappeler l’obligation de discrétion et de confidentialité.
Elle prend également acte que l’ensemble de ces opérations seront réalisées sur le territoire français et  qu’aucune donnée ne sera transférée en dehors du territoire national.
Sur les mesures de sécurité logique
La protection du réseau contre les intrusions provenant de l’extérieur semble, en première analyse, satisfaisant. En revanche, aucun dispositif de chiffrement pour le stockage des données n’est mis en œuvre, tant au niveau de la base de données que du système d’exploitation. 
Afin de répondre aux exigences de sécurité nécessaires à  une base nationale contenant les NIR et les adresses de l’intégralité des bénéficiaires de l’assurance maladie,   la Commission estime qu’un chiffrement des données stockées sur le serveur doit impérativement être mis en place.
Sur les profils d’habilitation
La Commission préconise qu’une procédure d’authentification forte soit mise en œuvre pour les personnels des prestataires habilités à accéder au traitement (par exemple carte à puce/clé usb avec certificat et mot de passe). 
Sur l’alimentation de la base de données
La Commission prend acte que les transmissions de données réalisées par les autres organismes d’assurance maladie ou sociaux ainsi que par les employeurs vers la CNAMTS seront réalisées par envoi de fichiers cryptés . 
Cependant, en ce qui concerne les liaisons entre les différents sites des prestataires et les flux d’administration, une authentification par simple mot de passe est prévue, ce qui n’est pas suffisant. En conséquence, pour garantir une bonne sécurité des échanges, la Commission préconise de :
recourir à une authentification forte (par exemple avec carte à puce/ clé usb avec certificat et mot de passe) ;
mettre en place des règles d’authentification par adresse IP (implémentés au niveau des pare-feu) devant permettre de garantir que seuls des postes bien identifiés et autorisés du prestataire peuvent établir une connexion de type administrateur sur les serveurs centraux. 
La Commission attire l’attention du Ministère sur le fort impératif de traçabilité nécessaire à la sécurité de la "base vaccination" que ce soit pour les accès techniques ou les consultations réalisées par les destinataires.
Sur la sécurité physique
Les éléments transmis par la CNAM-TS relatifs aux mesures de sécurité physique prises chez le sous-traitant assurant l’hébergement de la base apparaissent satisfaisants. Cependant, la Commission demande à avoir connaissance des mesures de sécurité mises en œuvre sur les sites du prestataire principal et recommande en particulier que le contrôle de l’accès à ces sites soit efficient, notamment via un contrôle par badge et un système de surveillance des accès. 
Sur les procédures et audits
En ce qui concerne la procédure de traitement des supports d’information en fin de vie (disques durs, CDROMS, etc.), la CNAM-TS a précisé qu’un effacement sécurisé était prévu. Cependant, la Commission préconise que la CNAM-TS s’assure auprès de la société en charge de la numérisation et du vidéocodage que les éventuels disques durs des appareils de numérisation seront effacés de manière sécurisée ou restitués à la CNAM-TS.
Par ailleurs, la Commission préconise que la CNAM-TS fasse réaliser un audit de sécurité et que des consignes de sécurité détaillées soient établies à l’attention tant des administrateurs et des techniciens que de l’ensemble des utilisateurs du système (notamment médecins, agents habilités des organismes des régimes obligatoires d’assurance maladie, autorité sanitaires en charge de la vaccination).
En conséquence  la Commission demande à être rendue destinataire d’un document technique complémentaire apportant des précisions sur : 
les techniques d’anonymisation ;
la procédure de chiffrement des données stockées sur le serveur ;
la mise en place d’authentification forte des personnes habilitées à avoir accès à la base;
la sécurisation de la transmission des données, notamment le recours à une authentification forte entre les différents sites des prestataires et les flux d’administration ainsi que la mise en place de règles d’authentification par adresse IP (implémentés au niveau des pare-feu) devant permettre de garantir que seuls des postes bien identifiés et autorisés du prestataire peuvent établir une connexion de type administrateur sur les serveurs centraux ;
les mesures de  sécurité physique prévues sur les sites des sociétés prestataires intervenant sur ce traitement ;
l’effacement de manière sécurisée des éventuels disques durs des appareils de numérisation restitués à la CNAM-TS ;
la réalisation d’un audit de sécurité  et l’établissement de consignes détaillées de  sécurité.
Sur l’information des personnes et l’exercice des droit d’accès et de rectification des données
Le projet de décret précise que les droits d’accès et de rectification des données s’exercent auprès de l’organisme d’assurance maladie de rattachement de l’assuré. 
Le décret prévoit que le droit d’opposition ne s’applique pas et ce même si la vaccination est facultative. Une personne qui ne se présentera pas à la vaccination figurera tout de même dans la base en raison de l’envoi de la lettre d’invitation.
En ce qui concerne l’information des personnes, la Commission prend acte que la lettre d’invitation à se faire vacciner comportera une mention précisant la finalité du traitement, les destinataires ainsi que les modalités d’exercice du droit d’accès (« les informations  recueillies sur le bon au verso sont destinées à votre organisme d'assurance maladie, aux autorités sanitaires, afin de réaliser la gestion et le suivi des vaccinations de la campagne de vaccinations. Vous pouvez accéder et rectifier vos données auprès de votre organisme d'assurance maladie. »).
Le Président
Alex TURK
(Demande d’autorisation n°1374120)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la Compagnie de Saint-Gobain, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Compagnie de Saint-Gobain a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel dénommé « dispositif d’alerte professionnelle » ayant pour finalité la mise en place d'une boîte aux lettres électronique accessible uniquement via l’intranet du groupe et permettant aux employés de signaler des manquements graves aux règles applicables afin de limiter les risques que le groupe Saint-Gobain pourrait encourir de ce fait. 
Le dispositif d’alerte envisagé a vocation à être utilisé au niveau mondial par l’ensemble des entités du groupe Saint-Gobain. Le groupe souhaite notamment exercer son activité en se fondant sur une charte qu’il a élaborée et dénommée « Principes de Comportement et d’Action ». Cette charte a vocation à s’appliquer à l’ensemble des pays où le groupe est implanté. 
La Commission prend acte du fait que le groupe Saint-Gobain ne réalise aucun transfert de données à caractère personnel à destination de pays situés en dehors de l’Union Européenne. 
Elle considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle prend acte de l’engagement de la société Saint-Gobain de respecter les dispositions de cette autorisation unique mais constate que le traitement envisagé ne répond pas aux exigences prévues par l’article 1er de ladite autorisation. 
En effet, les faits susceptibles d’être recueillis dans le cadre de ce dispositif sont les manquements graves relatifs aux domaines suivants : 
1) financier, comptable, fiscal, bancaire, des détournements d’actifs, et de lutte contre la corruption ;
2) règles et procédures contenues dans le « Référentiel de contrôle interne du Groupe » mises en place par Saint-Gobain et préconisées par l’AMF pour les sociétés cotées à la bourse de Paris ;
3) droit de la concurrence. 
D’autres manquements graves aux « Principe de comportement et d’action » du groupe Saint-Gobain peuvent également être signalés lorsque l’intérêt vital du groupe est mis à risque dans les domaines suivants : 
le manquement au respect des droits de l’Homme, tels que visés dans la Déclaration des droits de l’Homme adoptée par l’Assemblée générale des Nations Unies le 10 décembre 1948, qui intègre notamment le principe de lutte contre les discriminations ;
la violation de la réglementation sur l’Environnement-Hygiène-Sécurité ;
l’exclusion des conflits d’intérêt ;
l’interdiction de participer au titre d’une entité du Groupe, à toute forme de financement politique ;
l’interdiction du recours au travail forcé, au travail obligatoire ou au travail des enfants, principe de liberté syndicale, conformément aux conventions et recommandations de l’Organisation Internationale du Travail (OIT)
les risques graves pour la sécurité informatique de l’entreprise, la divulgation d’informations stratégiques strictement confidentielles et l’atteinte aux droits de propriété intellectuelle du groupe Saint-Gobain.
ou lorsque l’intégrité physique ou morale d’une personne est concernée.
Il est précisé que les faits recueillis sont strictement limités aux domaines listés ci-dessus. 
La demande de la société Saint-Gobain n’étant pas complètement conforme à l’autorisation unique n°4, la Commission doit procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission constate que l’utilisation du dispositif d’alerte demeure facultative et complémentaire par rapport aux autres modes classiques de signalement des dysfonctionnements de l’entreprise (via notamment la voie hiérarchique, les représentants du personnel, ou les autorités compétentes). 
En particulier, elle relève que cette utilisation est :
- limitée, sauf raison exceptionnelle, aux cas où le manquement a déjà été signalé, sans résultat, aux modes classiques de signalement,
- facultative, aucune sanction ne pouvant être prise à l’encontre d’un salarié en cas de non-utilisation du dispositif. 
La Commission prend acte du fait que le dispositif est interne au groupe Saint-Gobain et qu’il n’est pas fait appel à un prestataire externe pour le recueil et la gestion des alertes.
Enfin, la Commission constate que le dispositif ne permet pas d’émettre des signalements anonymes. L’émetteur de l’alerte doit nécessairement s’identifier sur l’intranet du groupe pour signaler des faits. Son identité est par la suite traitée de façon confidentielle par les personnes habilitées chargées du recueil des alertes.
Elle observe également qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires.
La Commission considère, en l’espèce, que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle voire personnelle des employés concernés. 
Compte tenu de ce qui précède, elle estime que le traitement envisagé est conforme l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Les droits d’accès et de rectification s’exercent auprès du Correspondant Conformité à l’adresse suivante : Direction du développement responsable, Compagnie de Saint-Gobain, 18 avenue d’Alsace, 92400 Courbevoie.
Les catégories de données à caractère personnel enregistrées sont identiques à celles mentionnées dans l’autorisation unique n°4 (Délibération n°2005-305 du 8 décembre 2005). 
Les destinataires des informations sont, dans la limite de leurs attributions et pour la finalité précitée, les « Correspondants conformité » désignés en nombre limité et soumis à une obligation renforcée de confidentialité. 
Dans ces conditions, la Commission autorise la Compagnie Saint Gobain à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
Le Président,
Alex TURK
(Demande d’autorisation n°1287032)
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le Code du travail et le Code de sécurité sociale ;
Vu le décret n°91-1404 du 27 décembre 1991 autorisant l'utilisation du répertoire national d'identification des personnes physiques par les employeurs dans les traitements automatisés de la paie et de la gestion du personnel ;
Vu la demande d’autorisation présentée par la société Manpower portant sur l’utilisation du numéro de sécurité sociale à des fins de gestion des intérimaires ;