AgentPublic/cnil huggingface dataset:
- Le réseau de périnatalité de la région aquitaine concerne les mères et leur(s) enfant(s) pendant la grossesse et après la naissance.- Le traitement a pour finalité de : - partager des données relatives aux patients entre les professionnels de santé du réseau afin d’améliorer leur prise en charge et mieux coordonner les soins ;- améliorer l’organisation du réseau ;- évaluer l’activité du réseau par extraction ;- gérer une base de données épidémiologique et scientifique ;- transférer les informations du dossier médical des patients qui nécessitent une prise en charge médicale dans un autre établissement de santé.
Données traitées
- Concernant les patients : identité (nom, prénom, date et lieu de naissance, sexe, futur identifiant national de santé), situation familiale, vie professionnelle, coordonnées, santé (antécédents, allergies, traitements, vaccinations, tension, mensuration, décès éventuel, groupe sanguin, pathologies, affections, documents médicaux, actes thérapeutique, compte rendu, ordonnance, lettre de sortie et habitude de vie et comportement (tabagisme, alcool, toxicomanie, grossesse).- Concernant les professionnels de santé : nom, prénom, spécialité, n° d’identification, coordonnées professionnelles, date d’adhésion au réseau.
Destinataires
Les professionnels de santé membres de l’équipe de soins du réseau pour les seuls patients qu’ils suivent. Le patient autorise préalablement les établissements et professionnels de santé à accéder à son dossier.
Information et droit d’accès
- Remise d’un document d’information au patient et d’une fiche de recueil du consentement. - Les droits d’accès, de modification, de rectification ou de suppression s’exercent auprès du médecin coordinateur du GCS-Réseau Périnat Aquitaine, CHU Bordeaux, Hôpital Pellegrin, place Amélie Raba-Léon, 33076 Bordeaux.
Caractéristiques particulières du traitement
- L’accès au portail D2R2 est réalisé depuis un environnement internet sécurisé (https – SSL) avec une carte de professionnel de santé. Un accès par mot de passe demeure possible à titre exceptionnel et provisoire en cas de perte de la CPS, dans l’attente de son renouvellement.- Le portail est hébergé par la société CEGEDIM qui satisfait aux conditions d’agrément telles que définies en application de l’article L. 1111-8 du code de la santé publique.- Journalisation des connexions accessible au patient.
Observations propres au traitement
- Durée de conservation des données : jusqu’au terme de la prise en charge du patient dans le cadre du réseau. A l’issue de cette période, les données sont archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques. 
Le Président
Alex TURK
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée, notamment ses  articles 27 et 29 ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu l’avis n°2009-213 de la Commission Nationale de l’Informatique et des Libertés en date du 30 avril 2009 ;
Vu la décision du 30 avril 2009 du Président de la CNIL relative à la mise en œuvre, par le service des correspondants informatique et des libertés d’un site web dédié aux correspondants à la protection des données à caractère personnel.
Vu le projet de décision du Président de la CNIL modifiant la décision susvisée du 30 avril 2009 ;
Vu l’avis de la CNIL en date du 16 novembre 2010
Décide
ARTICLE 1 : sont ajoutées à l’article 3 de la décision du 30 avril 2009 susvisée, dans le prolongement de la dernière phrase, les catégories de données suivantes : « éléments liés à la personnalisation du profil utilisé dans le cadre du forum (lieu, occupation, centres d’intérêt, biographie, signature et avatar) et historique des messages postés sur le forum ».
ARTICLE 2 : est ajoutée à la fin de l’article 4 de la décision du 30 avril 2009 susvisée la phrase suivante : « Dans le cadre de l’utilisation du forum, l’identité et les éléments de personnalisation du profil sont accessibles à tous les abonnés de l’extranet aux seules fins de connaître l’auteur d’un message, de lui répondre ou de le contacter par un message privé ». 
Le 16 novembre 2010
Alex TURK
La Commission nationale de l'informatique et des libertés,
Vu la convention no 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu l'article 322-2 du code pénal ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et notamment ses articles 6, 17 et 21 (1o), pris ensemble le décret no 78-774 du 17 juillet 1978 ;
Vu la loi no 79-18 du 3 janvier 1979 sur les archives ;
Vu la loi no 80-532 du 15 juillet 1980 relative à la protection des collections publiques contre les actes de malveillance ;
Vu la délibération no 80-17 du 6 mai 1980 concernant les traitements automatisés d'informations nominatives relatifs à la gestion de prêts de livres, de supports audiovisuels et d'oeuvres artistiques ;
Considérant que la Commission nationale de l'informatique et des libertés est habilitée, en vertu des 6, 17 et 21 (1o), à édicter, en vertu de son pouvoir réglementaire, des normes simplifiées concernant certains traitements automatisés d'informations nominatives ;
Considérant que, pour l'application de l'article 17 susvisé, il faut entendre par norme simplifiée l'ensemble des conditions que doivent remplir certaines catégories les plus courantes de traitements pour être regardées comme ne comportant manifestement pas de risques d'atteinte à la vie privée et aux libertés et comme pouvant dès lors faire l'objet d'une déclaration simplifiée ;
Considérant que certains des traitements informatisés portant sur la gestion des prêts de livres, de supports audiovisuels et d'oeuvres artistiques sont de ceux qui peuvent, sous certaines conditions, relever de l'article 17 susmentionné ; qu'il en est de même pour la gestion des consultations de documents d'archives publiques,
Décide :
Art. 1er. - Pour pouvoir faire l'objet de la procédure de déclaration simplifiée, les traitements automatisés d'informations nominatives relatifs aux prêts de livres, de supports audiovisuels et d'oeuvres artistiques et à la gestion des consultations de documents d'archives publiques doivent :
- ne porter que sur des données objectives aisément contrôlables par les intéressés grâce à l'exercice du droit individuel d'accès ;
- n'appliquer à ces données que des logiciels dont les résultats puissent être facilement contrôlés ;
- ne pas donner lieu à des interconnexions autres que celles nécessaires à l'accomplissement des fonctions énoncées à l'article 2 ci-dessous ;
- comporter des dispositions propres à assurer la sécurité des traitements et des informations à la garantie des secrets protégés par la loi ;
- satisfaire en outre aux conditions énoncées aux articles 2 à 5 ci-dessous ;
- ne pas déroger aux lois et règlements concernant les droits de propriété, d'auteur, de compositeur et d'interprétation liés aux supports prêtés et à la loi no 79-18 du 3 janvier 1979 sur les archives.
Art. 2. - Les traitements doivent avoir pour seules fonctions :
- de fournir des informations individuelles pour la gestion financière des prêts et la récupération des ouvrages ou supports prêtés ou consultés ;
- d'éditer des états statistiques dépersonnalisés pour les besoins de gestion et d'amélioration des services rendus (nature des ouvrages et des documents d'archives le plus souvent consultés, nom des oeuvres et des auteurs ou références des documents d'archives, etc.).
Art. 3. - Dès lors que les dispositions de l'article 27 de la loi du 6 janvier 1978 susvisée ont été respectées lors de leur recueil, les informations traitées doivent seulement relever des catégories suivantes :
- nom, prénoms, adresse, année de naissance, catégorie professionnelle, numéro de téléphone et, sous forme facultative, la nature de la recherche s'agissant des documents d'archives ;
- caractéristiques du prêt ou de la communication : désignation de l'oeuvre (titre, nom de l'auteur, de l'éditeur, etc.) ou du document d'archive, cotes de catalogage ou de classement, date, date(s) de relance.
Art. 4. - Les informations relatives à l'identité des emprunteurs sont conservées tant qu'ils continuent à participer au service de prêts. La radiation peut être demandée par l'emprunteur lui-même. Lorsque celle-ci n'est pas demandée par l'emprunteur, elle doit intervenir d'office et dans tous les cas à l'issue d'un délai d'un an à compter de la date de fin de prêt précédent.
Les informations concernant chaque prêt sont conservées jusqu'à la fin du quatrième mois suivant la restitution de l'objet du prêt. Au-delà de ce délai, les informations sur support magnétique sont détruites ; elles ne peuvent être conservées sur support papier que pour les besoins et la durée d'un contentieux éventuel.
S'agissant des documents d'archives, les informations relatives aux consultations sont conservées jusqu'au prochain récolement - inventaire - et dans la limite d'une durée maximum de dix ans.
Art. 5. - Peuvent seuls, dans les limites de leurs attributions respectives, être destinataires des informations :
- les services chargés de la gestion des prêts ou des consultations de documents d'archives ;
- leurs agents habilités pour les tâches comptables administratives ou des contentieux ;
- les supérieurs hiérarchiques de ces personnels et les membres des services d'inspection.
Art. 6. - Les traitements dont les finalités sont celles définies à l'article 2 ci-dessus mais qui comportent l'enregistrement d'informations n'appartenant pas aux catégories énumérées à l'article 3 ou aboutissant à la transmission d'informations à des destinataires autres que ceux définis à l'article 5 doivent faire l'objet de demandes d'avis complémentaires.
Art. 7. - La norme simplifiée instituée par la délibération no 80-17 du 6 mai 1980 est abrogée.
Art. 8. - La présente décision sera publiée au Journal officiel de la République française.
Fait à Paris, le 22 avril 1999.
Le président,
M. Gentot
La Commission nationale de l'informatique et des libertés,
Vu la convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, ensemble le décret no 78-774 du 17 juillet 1978 ;
Vu la délibération no 87-25 du 10 février 1987 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu M. Gentot (Michel), président, en son rapport, et Mme Pitrat (Charlotte-Marie), commissaire du Gouvernement, en ses observations ;
Considérant qu'il y a lieu de renforcer le caractère contradictoire de la procédure relative aux missions d'investigation, de contrôle ou de vérification sur place,
Décide :
Art. 1er. - L'article 57 du règlement intérieur de la commission est ainsi rédigé :
La mission fait l'objet d'un rapport signé par le membre ou l'agent de la commission qui y a procédé. Ce rapport comporte le compte rendu de mission et les conclusions du rapporteur. Il est communiqué à la personne concernée qui est informée qu'elle dispose d'un délai de quinze jours à compter de la réception du rapport pour faire connaître ses observations et qu'elle peut demander à être entendue, assistée ou non d'un conseil, par la commission. Cette audition est de droit lorsque le rapport de mission conclut à un avertissement ou une dénonciation au parquet. Dans les autres cas, le bureau de la commission apprécie la suite à donner à la demande d'audition qui est présentée. 
Art. 2. - La présente décision sera publiée au Journal officiel de la République française.
Le président,
M. Gentot
La Commission nationale de l'informatique et des libertés, réunie en formation restreinte, sous la présidence de M. Alex Türk, président ; 
Etant aussi présents M. Guy Rosier, vice-président délégué, M. François Giquel, vice-président, Mlle Anne Debet, membre, M. Hubert Bouchet, membre, M. Bernard Peyrat, membre ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction antérieure à la loi du 6 août 2004 ; 
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ; 
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 87-25 du 10 février 1987 modifiée par la délibération n°2004-098 du 9 décembre 2004 fixant le règlement intérieur de la CNIL ; 
Vu la délibération n° 2005-089 du 10 mai 2005 portant mise en demeure de la Fédération X ; 
Vu le rapport de M. Didier Gasse, commissaire, notifié le 3 avril 2006 à la Fédération X et les observations en réponse reçues le 4 mai 2006 ;
Après avoir entendu, lors de la réunion du 10 mai 2006, M. Didier Gasse, commissaire, en son rapport et Madame Catherine Pozzo di Borgo, commissaire adjoint du gouvernement, en ses observations. 
Après avoir entendu, lors de la réunion du 10 mai 2006, les observations orales de maître A, avocat, maître B, avocat et M. C, consultant, ceux-ci ayant pris la parole en dernier. 
Constate les faits suivants :
A la suite d'une mission de contrôle sur place diligentée auprès de la Fédération X les 23 et 24 mars 2005, la Commission, réunie en formation restreinte le 10 mai 2005, a mis en demeure la Fédération X, sous un délai de deux mois à compter de la date de réception de sa décision : 
- de faire figurer sur l'ensemble des formulaires de collecte de données à caractère personnel, quel que soit leur support, les mentions prévues par l'article 32 de la loi, en indiquant de manière spécifique que les données à caractère personnel peuvent être utilisées à des fins commerciales et que les titulaires de licences sont en mesure de s'y opposer sans frais ; 
- de mettre en œuvre de nouvelles modalités d'élections afin de garantir le secret du vote ; 
- de ne diffuser des données à caractère personnel sur son site internet qu'après avoir informé individuellement les personnes concernées et leur avoir permis de s'y opposer ;
- de sécuriser les modes de transmission des codes secrets permettant aux responsables des clubs et organismes équestres d'avoir des droits d'accès privilégiés au site internet de X ; 
- de se mettre en conformité au regard des dispositions de la loi relatives aux formalités préalables. 
M. D, président de X, a fait connaître à la Commission, par lettre recommandée avec accusé réception en date du 24 juin 2005, les éléments de réponse attestant que X se conforme à la mise en demeure qui [lui a été] adressée.
Ces réponses ne répondant pas à toutes les demandes formulées par la CNIL dans sa mise en demeure du 10 mai 2005, une audition a été organisée conformément à l'article 74 alinéa 2 du décret n° 2005-1309 du 20 octobre 2005 avec Mme E, administrateur provisoire de X nommé par jugement rendu le 21 octobre 2005. 
Lors de l'audition du 28 novembre 2005, il a été convenu avec X que des informations complémentaires devaient être adressées à la CNIL avant le 31 janvier 2006. 
Dans un courrier du 16 janvier 2006, l'administrateur provisoire de X a adressé à la CNIL la copie d'une lettre datée du 1er décembre 2005 émanant du prestataire informatique de X apportant certains premiers éléments de réponse aux demandes formulées par la CNIL lors de l'audition du 28 novembre 2005.
Ce courrier n'apportait néanmoins qu'une information partielle sur les éléments techniques attendus concernant la mise en œuvre du dispositif de vote électronique et aucune information sur les demandes de la Commission concernant les mentions d'informations à intégrer dans les formulaires de collecte données utilisés par X ainsi que sur les déclarations à adresser à la CNIL. 
Dans un courrier daté du 9 février 2006, faisant suite à une relance adressée par les services de la Commission, l'administrateur provisoire de X a adressé un second courrier auquel était annexé l'ensemble des formulaires de collecte de données utilisés par X ainsi que des documents techniques concernant le dispositif de vote (un cd relatif au fonctionnement des logiciels utilisés comprenant un spécimen de bulletin de vote). 
Les dossiers de déclaration attendus n'ayant toujours pas été adressés à la Commission, les services de la Commission ont adressé une nouvelle relance à X. 
Par un courrier du 23 février 2006, deux dossiers de déclaration ont été adressés à la Commission ayant respectivement pour finalité : la gestion des membres (gestion des licenciés, des clubs, des concours, etc.) et les modalités de vote au sein des instances fédérales.
L'ensemble des éléments d'information communiqués par X à la CNIL au cours de la procédure ainsi que de ceux recueillis lors d'une seconde mission de contrôle sur place diligentée le 22 mars 2006 auprès du service X Club situé à Lamotte-Beuvron conduisait aux conclusions suivantes : 
1. Sur la conformité à la loi du 6 janvier 1978 modifiée le 6 août 2004 des formulaires de collecte de données utilisés par X.
L'analyse de ceux-ci ne permettait pas à la Commission, s'agissant des formulaires papier, de considérer que les prescriptions de l'article 32 de la loi du 6 janvier 1978 modifiée le 6 août 2004 avaient été respectées puisque seul un formulaire sur les treize utilisés faisait mention de façon explicite de la cession des données à des tiers et de la possibilité, pour les personnes concernées, de s'y opposer. Ce point figurait pourtant de façon explicite dans la mise en demeure du 10 mai 2005. 
Il convient par ailleurs de relever qu'à l'occasion d'une réclamation qui leur a été adressée, les services de la CNIL ont pris connaissance de l'envoi d'informations issues du fichier de membres de X à un syndicat professionnel dénommé Groupement Y. La mission de contrôle diligentée le 22 mars 2006 a permis de confirmer que Y avait bien accès à une partie du fichier des membres de X (notamment identité des dirigeants de club, catégorie et état de leur cotisation) dans le cadre d'un accord aux termes duquel X prend en charge financièrement la cotisation de ses adhérents à Y.
Un contrôle réalisé dans les locaux de Y le 22 mars 2006 a en particulier permis de constater que, outre le fait que l'architecture de l'application informatique développée pour Y est identique à celle développée pour X, Y réalise des opérations de prospection à caractère syndical sur la base des informations accessibles dans le fichier de X alors qu'aucune information préalable des personnes concernées n'était effectuée. 
2. Sur les modalités de mise en œuvre du dispositif de vote électronique
Les services de la Commission ont relevé que les bulletins de vote comporteraient, comme cela avait été demandé, un pré-découpage destiné à les séparer en deux parties : l'une comportant l'identifiant du club votant (matérialisé sous forme de code-barres généré aléatoirement, associé à un club de façon unique), l'autre où figureraient le sens du vote exprimé ainsi qu'un code-barres correspondant au poids du vote (généré aléatoirement mais identique pour tous les clubs ayant le même poids).
Le code-barres du poids du club, généré de façon aléatoire avec les lettres de l'alphabet prises par groupe de trois est destiné à prendre en compte le nombre de licences, le nombre de licences cheval, le nombre de licences poney et le nombre de licence tourisme équestre. Pour que le même code-barres soit attribué à plusieurs clubs, il faudrait que le nombre total de licences et que le détail des licences (licences cheval, licences poney et licences tourisme équestre) soient strictement identiques pour l'ensemble de ces clubs, ce qui semble peu probable en pratique. 
Le nouveau code-barres présenté avait donc pour caractéristique de ne plus permettre la lecture directe du poids représentatif d'un club. Seules les personnes qui disposeraient de la table de correspondance auraient la possibilité de connaître le sens du vote exprimé par le responsable d'un club lorsque la codification retenue (c'est-à-dire le poids du vote) correspondrait à un seul club (codification unique). 
La possibilité d'établir de façon indirecte, notamment en cas de fraude interne, un lien entre le votant et le sens de son vote demeurait néanmoins. C'est pourquoi le dispositif présenté par X ne permettait pas de garantir un niveau de confidentialité suffisant sur l'identité de l'électeur et sur le sens de son vote.
S'agissant par ailleurs des mesures prises pour préserver l'intégrité des données et notamment empêcher qu'elles soient déformées, celles-ci n'apparaissaient pas suffisantes au regard des éléments techniques communiqués à la CNIL. 
Dans son courrier du 1er décembre 2005, X indiquait que : le logiciel d'édition des bulletins de vote (...) sera enregistré sur un support amovible (...) qui sera remis ou envoyé à l'autorité compétente (...), une fois l'impression réalisée . En conséquence, le procédé proposé pour sceller le logiciel permettant d'éditer les bulletins de vote n'interviendrait qu'après l'édition de ces documents et ne comporte aucune garantie quant à la conformité des bulletins de vote édités puis adressés aux responsables des clubs votants par rapport au logiciel sauvegardé et scellé . 
3. Sur la conformité à la loi de la diffusion de données à caractère personnel sur le site internet de X
Les éléments de réponse apportés par X au cours de la procédure sont satisfaisants et X s'est ainsi conformée à la mise en demeure de la CNIL sur ce point. 
4. Sur la mise en demeure de sécuriser les modes de transmission des codes secrets permettant aux responsables des clubs et organismes équestres d'avoir des droits d'accès privilégiés au site internet de X
X s'est également conformée à la mise en demeure de la CNIL sur ce point. 
5. Sur l'accomplissement des formalités préalables
X s'est là encore conformée à la mise en demeure de la CNIL sur ce point.
Constatant que X ne s'était pas conformée à la mise en demeure de la CNIL sur les questions relatives au dispositif de vote ainsi qu'aux modalités d'information des personnes, le rapporteur a adressé le 3 avril 2005 à X un rapport proposant à la formation restreinte d'adopter une sanction à son encontre, dans l'hypothèse où X n'apporterait pas, le jour de l'examen du dossier par la formation restreinte, des solutions allant dans le sens des préconisations du rapport, en particulier, pour le système de vote, le recours à des mesures complémentaires telles que l'appel à un tiers de confiance ayant seul connaissance de la table de correspondance mentionnée ci-dessus.