AgentPublic/cnil huggingface dataset:
de conventionnement, données relatives à l'activité.   - Pour les patients :  nom, prénom, sexe, date de naissance, qualité (patient, accompagnant), n° de téléphone, commune de résidence, niveau d'étude, situation familiale, date de la consultation, spécialité des médecins consultés, parcours de soins, motifs de consultation, diagnostics, examens et actes pratiqués, les prescriptions, thérapies suivies ou envisagées, recommandations, renvoi éventuel vers un autre professionnel de santé, couverture sociale et affection de longue durée éventuelle.
Destinataires :   - Le personnel d'IPSOS en charge de l'étude.   Les questionnaires numérotés remplis par le médecin sur son activité et ses patients sont envoyés à IPSOS dans une enveloppe T différente de celle contenant les fiches de consentement des patients afin que les informations nominatives les concernant ne puissent être directement corrélées aux informations médicales.   - Le personnel habilité de la DREES à l'exclusion d'éléments d'identification directe du patient et du médecin.   Information et droit d'accès   - Envoi d'une lettre avis aux médecins sélectionnés pour solliciter leur participation à l'enquête et les informer que leurs réponses seront traitées de façon anonyme et confidentielle.   - Information du patient par le médecin sur l'enquête et sur la possibilité qui lui est offerte de s'opposer à la transmission par le médecin d'informations médicales le concernant.   - Remise par le médecin au patient d'une note d'information lui indiquant qu'il peut exercer son droit d'accès en écrivant à IPSOS Opérations et d'une fiche de consentement rappelant le caractère non obligatoire de l'enquête.   - Mise à la disposition des médecins et des patients d'un numéro vert destiné à fournir toute information complémentaire sur l'enquête.   - Information sur le site internet de la DREES.   Caractéristiques particulières du traitement :   L'enquête est confiée à l'institut IPSOS.   L'identification des médecins et des patients sera anonymisée par des numéros et la
table de correspondance entre ces numéros et les identifiants sera détruite une fois le redressement de l'enquête réalisé.  Les données seront transmises par IPSOS à la DREES par CD-Rom.   L'exploitation statistique sera réalisée dans les locaux sécurisés de la DREES.   Le Président, Alex TURK   Guy ROSIER Vice-Président Délégué
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Vu l'arrêté du 30 juillet 1978 portant approbation du règlement du régime d'assurance invalidité-décès des travailleurs non salariés des professions artisanales ;   Vu la demande d'autorisation présentée par la caisse autonome nationale de compensation d'assurance vieillesse des artisans, la CANCAVA, tendant à mettre en oeuvre une base de données des arrêts de la cour nationale de l'incapacité et de la tarification de l'assurance des accidents du travail (CNITAAT) ;   Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations.
Formule les observations suivantes :   La caisse autonome nationale de compensation d'assurance vieillesse des artisans, la CANCAVA, a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la création d'une base de données des arrêts de la cour nationale de l'incapacité et de la tarification de l'assurance des accidents du travail (CNITAAT).   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25 de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données de santé justifiés par l'intérêt public.   La CANCAVA gère le régime obligatoire d'assurance invalidité-décès des professions artisanales. A cet égard, en application de l'arrêté du 30 juillet 1987, les artisans peuvent bénéficier des prestations suivantes :   - une pension pour incapacité totale d'exercer son métier,   - une pension pour invalidité totale et définitive à l'égard de toute activité rémunératrice,   - une majoration pour tierce personne en complément des pensions précitées. Les décisions d'attribution de ces prestations sont rendues suite à un rapport d'un médecinexpert et après consultation d'une commission "ad hoc".   Les décisions peuvent faire l'objet d'un contentieux portant sur des contestations d'ordre médical devant les tribunaux du contentieux de l'invalidité (TCI) et en appel devant la cour nationale de l'incapacité et de la tarification de
l'assurance des accidents du travail (CNITAAT).   Les décisions défavorables de la CANCAVA sont transmises au médecin conseil national ou à son adjoint qui apprécie l'opportunité d'un appel devant la CNITAAT.   La création d'un recueil des arrêts rendus par la CNITAAT dans la base de données contentieux médical a pour objectifs :   - d'assurer le suivi statistique de la jurisprudence en éditant des statistiques anonymes,   - d'assurer la cohérence des décisions,   - de constater les évolutions jurisprudentielles,   - de créer un outil d'aide à la décision pour le médecin conseil national et son adjoint.
Les catégories de données à caractère personnel enregistrées seront relatives à l'identité de l'assuré, son adresse, sa caisse de rattachement, sa profession, sa pathologie, des observations médicales éventuelles mentionnées dans l'arrêt et des informations relatives aux contentieux. Les données seront conservées 10 ans.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du service des affaires juridiques de la CANCAVA. Préalablement à toute insertion dans la base de données contentieux médical, l'assuré sera informé de son droit d'accès et de rectification dans le courrier de notification de la décision de la CANCAVA concernant sa demande de prestations d'invalidité.   Les destinataires des informations seront le médecin conseil national et son adjoint qui bénéficieront d'un accès en ligne des décisions numérisées à partir du numéro de répertoire unique attribué par la CNITAAT à chaque assuré. Le personnel habilité du service des affaires juridiques de la CANCAVA pourra également consulter la base, mais n'aura accès qu'à des données anonymisées, sans l'identité ni l'adresse de l'assuré.
   Autorise, dans ces conditions, la CANCAVA à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la création d'une base de données des arrêts de la cour nationale de l'incapacité et de la tarification de l'assurance des accidents du travail.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8-IV et 25 ;   Vu le code de la sécurité sociale et en particulier les articles L. 721-1 et suivants et R. 721-1 et suivants ;   Vu la demande d'autorisation présentée par la caisse d'assurance vieillesse, invalidité et maladie des cultes (CAVIMAC) concernant la mise en oeuvre au sein du service de contrôle médical d'un traitement de gestion de l'activité du contrôle médical ;   Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations.
Formule les observations suivantes :   La caisse d'assurance vieillesse, invalidité et maladie des cultes, CAVIMAC, a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel au sein du service de contrôle médical ayant pour finalité la gestion du contrôle médical.   Une demande d'avis similaire de la caisse nationale d'assurance maladie des travailleurs salariés a obtenu un avis réputé favorable de la CNIL le 18 décembre 2001 pour ses directions régionales et ses échelons locaux du service médical.   La Commission considère qu'il y a lieu de faire application des dispositions des articles 8-IV et 25 de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements de données de santé justifiés par l'intérêt public.   Ce système informatique dénommé Hippocrate permettra au service du contrôle médical de la CAVIMAC de constituer une base de données médico-adminstratives de ses ressortissants en vu de la gestion des avis individuels sur prestations qu'elle rend et leur suivi, de l'alimentation d'un entrepôt de données et de la réalisation d'études de santé publique.   Un serveur isolé et dédié à cette application sera situé au CETIF, Centre de traitement des caisses de l'est de l'Ile-de-France. L'accès au local dédié au service médical sera sécurisé et tracé. L'accès à l'application nécessitera l'utilisation d'une carte à puce personnelle associée à un code, les données lors des transferts via
le réseau seront cryptées.  L'ensemble du système bénéficie de mesures de sécurité tant logiques que physiques satisfaisantes.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du service du contrôle médical de la caisse d'assurance vieillesse, invalidité et maladie des cultes.   Les catégories de données à caractère personnel traitées seront relatives à l'identité de l'assuré ou de l'ayant droit, au numéro de sécurité sociale, à la situation familiale de l'assuré, sa situation professionnelle, aux données relatives au rattachement de l'individu, aux données issues du codage des actes et prestations, au type de prise en charge, aux affections, aux avis et décisions du contrôle médical, aux exonérations du ticket modérateur, affections de longues durées, CIM10, maladies professionnelles, aux professionnels de santé intervenants.   Les destinataires des données seront, dans le cadre de leurs fonctions, le personnel du service du contrôle médical de la CAVIMAC sous la responsabilité du médecin conseil chef de service.   Autorise, dans ces conditions, la caisse d'assurance vieillesse, invalidité et maladie des cultes à mettre en oeuvre un traitement de données à caractère personnel au sein du service de contrôle médical ayant pour finalité la gestion du contrôle médical.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Vu la demande d'autorisation présentée par le groupement d'intérêt public carte de professionnel de santé tendant au rapprochement des répertoires des professionnels de santé détenus par l'Etat, la direction centrale du service de santé des armées, les ordres professionnels, la CNAMTS et le GIP-CPS afin de déterminer les règles de rapprochement des différents répertoires préalablement à la constitution d'un répertoire partagé des professionnels de santé (RPPS).   Après avoir entendu M. Jean-Pierre de Longevialle, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire du Gouvernement adjoint, en ses observations.
Formule les observations suivantes :   Le GIP-CPS a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité le rapprochement des répertoires des professionnels de santé détenus par l'Etat, la direction centrale du service de santé des armées, les ordres professionnels, la CNAMTS et le GIP-CPS afin de déterminer les règles de constitution d'un répertoire partagé des professionnels de santé.   Le répertoire lors de sa constitution définitive sera alimenté par les différents partenaires notamment lors des changements de situation des professionnels de santé.   Le répertoire aura pour objet d'identifier de façon pérenne et unique les professionnels de santé, d'améliorer la qualité des données des partenaires, d'affiner la connaissance notamment géographique et démographique des professionnels de santé, de simplifier les démarches des professionnels de santé en supprimant les procédures d'enregistrement redondantes, de faciliter la délivrance des cartes et développer des actions de communication.   Le traitement présenté à la Commission constitue la première phase du projet qui tend à comparer les bases de données des partenaires dans lesquels sont enregistrées les informations sur les professionnels de santé afin d'affiner les règles de rapprochement des différents répertoires.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25 de la loi du 6
janvier 1978 modifiée en août 2004 qui soumet à autorisation les traitements ayant pour objet l'interconnexion de fichiers.   Chaque partenaire fournira un ou plusieurs CD-Roms cryptés par un algorithme de chiffrement triple DES. Les CD-Roms seront remis en main propre au responsable du projet au sein du GIP-CPS.   Les données seront stockées sur un serveur dédié au rapprochement, également accessible par un mot de passe propre. L'accès à la salle machine est strictement limité et protégé par badge.   Les données envoyées par les partenaires seront détruites une fois que les spécifications de rapprochement seront terminées. En tout état de cause la durée de conservation n'excédera pas deux ans.   Une information écrite et électronique sera diffusée par chaque partenaire auprès des professionnels de santé sur les modalités et le déroulement du traitement.
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès de chaque partenaire détenteur du fichier d'origine.   Les catégories de données à caractère personnel enregistrées seront relatives à l'identité du professionnel de santé, sa date de naissance, sa nationalité, son diplôme, le cas échéant son autorisation d'exercer, des données professionnelles, ses qualifications, son activité, le cas échant la structure dans laquelle il exerce et la carte de professionnel de santé.   Le destinataire des informations sera le GIP-CPS.   Autorise, dans ces conditions, le GIP-CPS à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité le rapprochement des répertoires des professionnels de santé détenus par l'Etat, la direction centrale du service de santé des armées, les ordres professionnels, la CNAMTS et le GIP-CPS afin de déterminer les règles de rapprochement des différents répertoires préalablement à la constitution d'un répertoire partagé des professionnels de santé (RPPS).   Le Président Alex TURK
La Commission nationale de l'informatique et des libertés ;   Vu la convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;   Vu l'article 9 du Code civil ;   Vu les articles 226-16 à 226-24 du Code pénal ;   Vu le code du patrimoine ;   Vu la délibération n° 88-052 du 10 mai 1988 portant adoption d'une recommandation sur la compatibilité entre les lois n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et n° 79-18 du 3 janvier 1979 sur les archives ;   Après avoir entendu M. Emmanuel de Givry, commissaire, en son rapport et Mme Catherine Pozzo di Borgo, Commissaire du gouvernement adjoint, en ses observations.
Formule les observations suivantes :   Les entreprises, organismes ou établissements privés ont l'obligation, au regard de la réglementation applicable, d'archiver nombre d'informations très détaillées sur leur activité passée, en particulier au sujet des opérations effectuées avec leurs clients, fournisseurs ou salariés. Ces informations, de tous degrés d'importance (documents internes, pièces comptables, déclarations sociales et fiscales, transactions bancaires, contrats, etc.) peuvent comporter des données à caractère personnel et sont, dès lors, protégées par les dispositions de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004 relative aux fichiers, à l'informatique et aux libertés.   Face à la mémoire de l'informatique, seul le principe du "droit" à l'oubli consacré par l'article 6-5° de la loi du 6 janvier 1978 peut garantir que les données collectées sur les individus ne soient pas conservées, dans les entreprises, pour des durées qui pourraient apparaître comme manifestement excessives. La Commission nationale de l'informatique et des libertés a pour mission de veiller au respect de ce principe s'agissant, en particulier, des durées de conservation relatives aux informations collectées par les entreprises, organismes ou établissements privés mais aussi des modalités de conservation de ces informations.   Dans sa recommandation du 10 mai 1988 sur la compatibilité entre les lois n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux
libertés et n° 79-18 du 3 janvier 1979 sur les archives, la CNIL a déjà précisé, pour les administrations et organismes du secteur public, les modalités relatives à l'archivage public dans le respect des dispositions de la loi "informatique et libertés". Il lui apparaît aujourd'hui nécessaire, au regard des enjeux relatif à la protection de la vie privée des personnes, d'adopter la présente recommandation relative aux modalités d'archivage électronique, dans les entreprises, organismes ou établissements privés, de données à caractère personnel.   Par archivage électronique de données à caractère personnel, il convient d'entendre les pratiques de conservation des données visées à l'article 2 de la loi du 6 janvier 1978 modifiée, que celles-ci soient collectées, reçues, établies ou transformées sous forme électronique, par toute personne, service ou organisme privé dans l'exercice de son activité.   La présente recommandation a vocation à s'appliquer aux archivesdites courantes, intermédiaires et définitives, ainsi définies :   - par archives courantes, il convient d'entendre les données d'utilisation courante par les services concernés dans les entreprises, organismes ou établissements privés (par exemple les données concernant un client dans le cadre de l'exécution d'un contrat) ;   - par archives intermédiaires, il convient d'entendre les données qui présentent encore pour les services concernés un intérêt administratif, comme par exemple en cas de contentieux, et dont les
durées de conservation sont fixées par les règles de prescription applicables ;   - par archives définitives, il convient d'entendre exclusivement les données présentant un intérêt historique, scientifique ou statistique justifiant qu'elles ne fassent l'objet d'aucune destruction.
Sur la durée de conservation des données archivées   Les archives courantes et intermédiaires doivent répondre, conformément aux articles 6-5° et 24 de la loi du 6 janvier 1978 modifiée en août 2004, à des durées de conservation spécifiques, proportionnées à la finalité poursuivie (en particulier au regard des durées de prescription définies par la réglementation commerciale, civile ou fiscale), qui doivent être précisées dans le cadre des dossiers de formalités préalables adressés à la CNIL.   Les durées de conservation déclarées à la CNIL doivent être respectées sous peine de sanction prévue par l'article 226-20 du code pénal.   Il est rappelé qu'en application de l'article 36 alinéa 2 de la loi du 6 janvier 1978 modifiée, les traitements dont la finalité se limite à assurer la conservation à long terme de documents d'archives dans le cadre du livre II du code du patrimoine sont dispensés des formalités préalables à la mise en oeuvre des traitements prévues au chapitre IV de la loi précitée.   Recommande par conséquent que le responsable de traitement établisse, dans le cadre de ses moyens d'archivage, des procédures aptes à gérer des durées de conservation distinctes selon les catégories de données qu'il collecte et soit en mesure d'effectuer, le cas échéant, toute purge ou destruction sélective de données.
Sur la sécurité des données archivées   En application de l'article 34 de la loi du 6 janvier 1978 modifiée, le responsable du traitement doit mettre en oeuvre les mesures techniques et d'organisation appropriées pour protéger les données archivées contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite. Ces mesures doivent assurer un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger.  Le non-respect de l'obligation de sécurité est sanctionné par l'article 226-17 du code pénal.   L'article 35 de la loi du 6 janvier 1978 modifiée dispose par ailleurs que le responsable du traitement, lorsque l'archivage est effectué pour son compte, doit choisir un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d'organisation relatives aux traitements à effectuer et qu'il doit veiller au respect de ces mesures. La réalisation de traitements en sous-traitance doit être régie par un contrat ou un acte juridique qui lie le sous-traitant au responsable de traitement et qui prévoit notamment que le soustraitant n'agit que sur la seule instruction du responsable de traitement et que les obligations en matière de sécurité incombent également à celui-ci.
Recommande   . s'agissant des archives intermédiaires, que l'accès à celles-ci soit limité à un service spécifique (par exemple un service du contentieux) et qu'il soit procédé, a minima, à un isolement des données archivées au moyen d'une séparation logique (gestion des droits d'accès et des habilitations).   . s'agissant des archives définitives, que celles-ci soient conservées sur un support indépendant, non accessible par les systèmes de production, n'autorisant qu'un accès distinct, ponctuel et précisément motivé auprès d'un service spécifique seul habilité à consulter ce type d'archives (par exemple la direction des archives de l'entreprise).   Recommande, afin de garantir l'intégrité des données archivées, de mettre en oeuvre des dispositifs sécurisés lors de tout changement de support de stockage des données archivées.   Recommande de mettre en oeuvre des dispositifs de traçabilité des consultations des données archivées.