AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Vu la convention no 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/ CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protect ion des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment son article L. 3131-9-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Saisie par la ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret relatif au système d'information d'identification unique des victimes ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission a été saisie par la ministre des solidarités et de la santé d'une demande d'avis concernant un projet de décret relatif au système d'information d'identification unique des victimes.
La loi n° 2016-1827 du 23 décembre 2016 de financement de la sécurité sociale pour 2017 a créé 1'a1ticle L. 3131-9-1du code de la santé publique ( CSP) qui prévoit la mise en place d'un système d'information d'identification unique des victimes en cas de situation sanitaire exceptionnelle et renvoie à un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, le soin préciser la nature des données recueillies et de fixer les modalités de leur transmission dans le respect des règles garantissant la protection de la vie privée.
Le projet de décret (ci-après le projet ) entre dans ce cadre.
Les modalités d'information des personnes, les durées de conservation des données et les mesures de sécurité mises en œuvre seront décrites dans les formalités relatives au traitement.
Sur les données collectées :
Le projet d'article R. 3131-10-1 liste les catégories de données à caractère personnel enregistrées dans le système d'information d'identification unique des victimes.
S'agissant des victimes, les données traitées sont les suivantes :
les données permettant le dénombrement des personnes prises en charge pour une consultation ou une hospitalisation dans un établissement de santé ou par les professionnels des cellules d'urgence médico-psychologiques (CUMP) ;
les données à caractère personnel relatives à l'identification des personnes
précitées ;
les données à caractère personnel relatives à la prise en charge sanitaire, y compris médico-psychologique de ces personnes ;
les données à caractère personnel portant sur l'identité et les coordonnées des personnes à contacter relativement à ces personnes.
La Commission observe que les catégories de données relatives aux utilisateurs finaux du système d'information ne sont pas mentionnées et recommande que le projet soit complété sur ce point.
Par ailleurs, le ministère a précisé que, concernant ces utilisateurs, seront collectées les données d'identification suivantes : numéro de l'uti1isateur, nom usuel, nom de naissance, prénom, sexe, date de naissance, entité de rattachement, code établissement du fichier national des établissements sanitaires et sociaux (le cas échéant), code région (région et zone de défense), numéro de répertoire partagé des professionnels de santé (pour les professionnels de santé), numéro de la carte de professionnel de santé ou de la carte de personnel autorisé, e-mail de récupération du mot de passe à usage unique, numéro de téléphone mobile, mot de passe, niveau de droits d'accès administrateur.
Concernant la collecte du numéro de téléphone mobile, la Commission prend acte de ce que le ministère a précisé qu'il s'agira, en principe, du numéro de téléphone professionnel de l'utilisateur. Dans l'hypothèse où le professionnel ne dispose pas d'un numéro de téléphone mobile professionnel, il n'y aura aucune obligation pour celui-ci de communiquer son numéro personnel.
Sur les destinataires :
Le projet d'article R. 3131-10-2 du CSP prévoit que sont destinataires des données enregistrées dans le système d'information d'identification unique des victimes :
- les agents des établissements de santé, les services d'aide médicale urgente, les personnes intervenant au sein des CU MP dans le cadre de la prise en charge des victimes ;
- les agents des agences régionales de santé (ARS). Le ministère a précisé que cet accès s'inscrit dans le cadre de leur mission de gestion des situations de crise sanitaire ( article L. 1431-2 du CSP). L'ARS située dans le territoire de survenue de l'événement accède aux données du système d'information sur son périmètre de compétence. Elle peut ainsi veiller à la cohérence des données enregistrées par les établissements de santé et à la ventilation des patients dans le système de soins ;
- les agents du ministère chargé de la santé. La direction générale de la santé (DGS) a pour mission, en liaison avec les autres ministères et institutions concernés, d'organiser et d'assurer la gestion des situations d'urgence sanitaire ( article D. 1421-1 du CSP). Les agents habilités de la DGS (essentiellement le centre opérationnel de régulation et de réponse aux urgences sanitaires et sociales) accèdent aux données du système d'information. Ainsi, elle peut veiller à la cohérence des données au niveau national et analyser la répartition des patients dans l'ensemble du système de soins ;
- les agents du ministère de l'intérieur et de la justice. Dans le cas d'attentats, certains agents habilités de ces ministères participent à la cellule interministérielle d'aide aux victimes. Le ministère a précisé que d'autres agents des ministères de l'intérieur et de la justice, dans leurs missions de mise en œuvre de l'enquête judiciaire, d'identification judicaire et d'établissement d'une liste de suivi de victimes accèderont également aux données dans leur périmètre de compétence ;
- les agents du ministère des affaires étrangères. Le ministère a précisé que cet accès s'inscrit dans leurs missions de lien avec les autorités étrangères chargées de recueillir les appels téléphoniques des familles de victimes et d'y répondre.
Ces destinataires accèdent aux données dans la stricte mesure où elles sont nécessaires à l'exercice des missions qui leur sont confiées.
La Commission observe que l' article L. 3131-9-1 du CSP prévoit désormais que les données sont transmises dans le but d'assurer la gestion de la crise et le suivi des victimes, aux agents désignés au sein (…) des ministères compétents .
Elle prend acte de ce que le législateur a ainsi entendu permettre à ces destinataires d'accéder aux données enregistrées dans le système d'information unique des victimes.
Sur les modalités de transmission des données :
La Commission prend acte de l'engagement du ministère de compléter le projet afin de préciser que les données collectées sont enregistrées, conservées et transmises dans des conditions permettant d'en garantir la sécurité, la confidentialité et l'intégrité.
La présidente,
I. Falque-Pierrotin
(demande d’autorisation n° 1974966)
La Commission nationale de l'informatique et des libertés,
Saisie par Groupement d’Intérêt Economique d’opérateurs de téléphonie mobile (GIE PREVENTEL) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la détection et la gestion de la fraude documentaire ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 04-072 du 21 septembre 2004, modifiée par la délibération n° 2009-147 du 26 février 2009, autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel relative à la prévention des impayés ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par le Groupement d’Intérêt Economique d’opérateurs de téléphonie mobile (GIE PREVENTEL) d’une demande d’autorisation concernant un traitement ayant pour finalité la détection et la gestion de la fraude documentaire.
Sur la finalité du traitement :
Le traitement vise à identifier et à gérer les risques de fraude documentaire lors d’une demande de souscription à un abonnement téléphonique.
En premier lieu, les informations fournies par le demandeur d’un abonnement de téléphonie mobile (en boutique, en ligne ou dans les points de vente des distributeurs) font l’objet d’une consultation dans le système d’information, lequel signale le nombre de récurrences de ces informations sur une période de quelques jours. Si des informations et documents identitaires ont été présentés plusieurs fois auprès de plusieurs opérateurs lors de la demande de souscription à un abonnement, le système d’information le signale à l’opérateur téléphonique. Le nombre de récurrences pouvant déclencher une alerte varie selon la politique de gestion des risques de fraude propre à chaque membre du GIE destinataire des informations.
En second lieu, l’adresse postale fournie par la personne concernée est comparée avec le système d’information du GIE PREVENTEL. Si cette adresse est identifiée comme attachée à une fraude avérée ayant été commise dans les derniers mois, par un certain nombre de personnes, une alerte sera enclenchée.
Si l’alerte est considérée par le membre du GIE PREVENTEL concerné comme une source sérieuse de risque de fraude, une intervention humaine a lieu : un contrôle et/ou des vérifications complémentaires peuvent être effectués (telles que la demande d’une pièce d’identité supplémentaire ou d'un second justificatif de domicile), ou des garanties peuvent être demandées (dépôt de garantie ou avance sur consommation). Ces vérifications et demandes de garantie ne sont pas systématiques en cas de détection d’un risque de fraude : le membre du GIE PREVENTEL peut décider d’autoriser la personne concernée à souscrire à un abonnement sans vérification ni demande de garantie complémentaire. A défaut de présentation des informations ou des garanties sollicitées de manière suffisante, le membre du GIE PREVENTEL peut refuser la demande de souscription d’abonnement de la personne concernée.
Ce traitement peut ainsi, du fait de sa portée et de sa finalité, exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute disposition légale prévoyant une telle exclusion. Il est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Toutefois, la Commission note que le traitement tend uniquement à détecter les demandes de souscription présentant un risque de fraude, sans tenir ni alimenter une liste d’exclusion. En d’autres termes, ni les personnes auxquelles des vérifications et/ou des garanties sont demandées ni les personnes dont la demande de souscription d’abonnement a été refusée ne sont inscrites sur une liste d’exclusion.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données collectées sont celles qui sont transmises lors de la demande de souscription du contrat, à savoir :
• identité (civilité, sexe, nom, prénom, adresse, ses adresses courriel personnelles ou professionnelles, date et département de naissance) ;
• informations financières (RIB ou IBAN) ;
• justificatifs d’identité et de domicile, notamment collectés dans le cadre des demandes d’informations complémentaires.
Par ailleurs, lors de l’envoi des données au GIE, les opérateurs précisent les adresses postales qu’ils ont identifiées comme rattachées à une fraude avérée.
La Commission observe que des mesures sont prises pour éviter que l’alerte ne soit déclenchée sur la seule base d’une adresse postale préalablement identifiée comme rattachée à une fraude par un opérateur membre du GIE PREVENTEL. Ainsi, seule la récurrence d’une adresse postale attachée à une fraude déclenche l’alerte. Les noms et prénoms ne sont utiles que pour établir que cette adresse a été effectivement présentée par des personnes différentes. Aucune association n’est faite entre les données d’identité des demandeurs de souscription à un abonnement et l’auteur d’une fraude avérée.
Sur la durée de conservation des données :
Les données doivent être conservées pour la durée indiquée dans le dossier de demande d’autorisation, et en tout état de cause ne peuvent être conservées pour une durée excédant 180 jours. Il n’existe aucune conservation de données en base intermédiaire ni en archivage.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le responsable de traitement.
Sur les destinataires des données :
Seules peuvent accéder aux données collectées les personnes suivantes :
• le personnel habilité du GIE PREVENTEL ;
• dans la limite des alertes transmises, les personnels des opérateurs.
Sur l'information des personnes :
Les personnes concernées, demandeurs à la souscription d’abonnement, sont informées des mentions prévues à l’article 32 de la loi Informatique et Libertés modifiée, par le biais de :
une mention d’information sur le site internet du GIE PREVENTEL ;
une mention d’information sur le site internet de l’opérateur ;
une mention dans les conditions générales de vente de l’opérateur ;
une affichette en boutique de l’opérateur ;
une information orale délivrée par l'opérateur lors de la demande de souscription.
Ces mentions doivent indiquer que le GIE PREVENTEL est responsable de traitement et préciser les modalités d’exercice des droits Informatique et Libertés .
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les personnes concernées peuvent exercer leurs droits d’accès, de communication, de rectification et d’opposition pour motifs légitimes auprès du GIE PREVENTEL.
Elles peuvent également faire parvenir au membre du GIE PREVENTEL concerné des observations qui seront prises en compte et analysées pour, le cas échéant, lever la demande de garantie ou débloquer le refus à la demande de souscription d’abonnement.
Ces personnes doivent justifier de manière non équivoque de leur identité (en fournissant par exemple la copie d’un document d’identité qui soit lisible et clair) par un courrier postal ou électronique.
Sur la sécurité des données et la traçabilité des actions :
La Commission prend note de la mise en œuvre de précautions utiles pour préserver la sécurité des données traitées, notamment pour empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
Une gestion des habilitations permet de limiter l’accès aux données aux seules personnes dument habilitées et autorisées à en connaitre, en fonction de leur profil.
Des mesures de traçabilité sont mises en œuvre et un chiffrement des accès est déployé afin de sécuriser les échanges avec les membres du GIE.
Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle néanmoins que l’exigence de sécurité prévue à l’article 34 de la loi nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise Groupement d’Intérêt Economique d’opérateurs de téléphonie mobile (GIE PREVENTEL) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la détection et la gestion de la fraude documentaire.
 
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Le règlement européen invite les autorités de protection des données à développer les mécanismes de certification en matière de protection des données, afin d'assister les responsables de traitement dans leurs démarches de conformité.
Compte tenu de cette orientation européenne et afin de concentrer ses efforts et ressources sur la mise en œuvre de ce nouveau dispositif, la Commission cesse son activité de labellisation.
Décide :
Article 1 
Les référentiels suivants sont abrogés à compter du 30 juin 2018 :
- référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l'égard du traitement des données à caractère personnel, adopté par délibération n° 2017-220 du 13 juillet 2017 ;
- référentiel pour la délivrance de labels en matière de procédures de gouvernance tendant à assurer la protection des données, adopté par délibération n° 2017-219 du 13 juillet 2017 ;
- référentiel pour la délivrance de labels en matière de services de coffre-fort numérique, adopté par délibération n° 2014-017 du 23 janvier 2014 ;
- référentiel pour la délivrance de labels en matière de procédure d'audit tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, adopté par délibération n° 2011-316 du 6 octobre 2011.
Les labels délivrés avant cette date restent valables jusqu'à la fin de la durée prévue par les décisions respectives de délivrance.
Article 2
Pour assurer la mise en œuvre de l'article 1er, la Commission ne recevra plus de nouvelle demande de labellisation au vu des référentiels à compter du 30 mars 2018.
Article 3
La présidente de la CNIL est chargée de l'exécution de la présente délibération.
La présidente,
I. Falque-Pierrotin
Décision MED n° 2018- 007 du 5 mars 2018 mettant en demeure la société X
(N°MDMXX)
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi
n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2016-277C du 4 octobre 2016 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification après de la société X;
Vu les procès-verbaux de contrôle sur place n° 2016-277/1 du 19 octobre 2016 et n°2016-277/2 du 1er février 2018 ;
Vu les autres pièces du dossier ;
Constate les faits suivants
La société anonyme X (ci-après la société ) a pour activité la fourniture et la production d’énergie. Elle emploie 650 salariés et a réalisé un chiffre d’affaires d’environ 1,7 milliard d’euros en 2016. Son siège social est situé […].
En application de la décision n°2016-277C du 4 octobre 2016 de la Présidente de la Commission Nationale et Libertés (ci-après CNIL), une délégation de la CNIL a procédé à deux missions de contrôle sur place les 19 octobre 2016 et 1er février 2018.
Cette mission a eu pour objet de procéder à la vérification de la conformité aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ou loi du 6 janvier 1978 modifiée ) des traitements de données à caractère personnel mis en œuvre par la société.
Sur les données de consommations issues des compteurs communicants LINKY 
Développé et déployé par la société ENEDIS, gestionnaire du réseau de distribution d’électricité, le compteur communicant LINKY a notamment pour objet de permettre aux consommateurs une meilleure maitrise de leurs consommations d’électricité (ex : suivi et comparaison des consommations, via un espace sécurisé sur le site du gestionnaire de réseau, facturation basée sur les consommations réelles et non plus sur des estimations) et d’offrir de nouveaux services (ex : bilan énergétique).
Doté de plusieurs fonctionnalités techniques, ce compteur communicant permet de relever à distance des données de consommations d’électricité plus fines que les compteurs traditionnels telles que les données de consommations quotidiennes ainsi que celles relatives à la consommation horaire ou au pas de trente minutes.
La société ENEDIS prévoit, d’ici 2021, d’installer 35 millions de compteurs communicants.
Sur les faits
Lors du contrôle du 19 octobre 2016, la délégation a été informée que, depuis l’été 2016, la société X demande à la société ENEDIS de lui transmettre :
les consommations horaires au pas de trente minutes de ses clients (appelées aussi courbes de charge ) ; et
leurs consommations quotidiennes d’électricité (appelées aussi index quotidiens ).
Elle a également été informée qu’avant le remplacement d’un compteur électrique par un compteur communicant, les clients de la société sont informés, par courrier postal ou électronique, du changement à venir.
S’agissant des données de consommations au pas de trente minutes , la délégation a été informée que le consentement des clients ou futurs clients, pour la collecte de ces données par la société ENEDIS et leur transmission pour traitement à X, est recueilli par internet, par coupon papier ou par appel téléphonique.
Elle a également été informée et a constaté que le consentement des clients, pour le traitement et la collecte de ces données par la société X, est recueilli selon différents modes: