AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; 
 
Vu l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
 
Vu le décret n°2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
 
Vu le décret n°2007-284 du 2 mars 2007 fixant les modalités d'élaboration, d'approbation, de modification et de publication du référentiel général d'interopérabilité ;
 
Vu l'arrêté du 9 novembre 2009 portant approbation du référentiel général d'interopérabilité ;
 
Vu l'arrêté du 6 mai 2010 portant approbation du référentiel général de sécurité et précisant les modalités de mise en œuvre de la procédure de validation des certificats électroniques ;
Vu la délibération n°2011-143 du 12 mai 2011 portant homologation du téléservice de dépôt de plaintes en ligne de la Commission nationale de l'informatique et des libertés ;
 
Vu le référentiel général d'interopérabilité, version 1.0 du 12 mai 2009, de la Direction générale de la modernisation de l'État du ministère du Budget, des comptes publics et de la de la fonction publique ;
 
Vu le référentiel général de sécurité, version 1.0 du 6 mai 2010, de l'Agence nationale de la sécurité des systèmes d'information et de la Direction générale de la modernisation de l'État du ministère du Budget, des comptes publics et de la réforme de l'État ;
Sur la proposition de M. Emmanuel de Givry, vice-président, et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
 
Formule les observations suivantes :
Sur le téléservice de dépôt de plaintes en ligne
L'article 11 c) de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée dispose que la Commission reçoit les plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci .
Le 15 juin 2010, la Commission a mis en ligne un téléservice permettant aux usagers de lui adresser leurs plaintes à partir de son site Internet. À titre d'expérimentation, il ne concerne que les personnes qui ont demandé sans succès à ne plus recevoir de publicités (radiation d'un fichier de prospection) et celles qui n'ont pas pu exercer leur droit d'accès.
Ce téléservice permet tout d'abord aux internautes d'être informés et orientés selon leur situation. Il leur permet également de saisir des éléments de plainte (sur l'internaute, sur l'organisme qui détient le fichier, et sur les démarches qui ont été entreprises) et d'envoyer des pièces jointes à l'aide d'un formulaire prévu à cet effet. Une fois la saisie réalisée, un accusé de réception leur est envoyé de manière automatique. Au-delà du téléservice, la plainte est ensuite qualifiée et instruite par les services de la Commission par le processus traditionnel.
Sur le référentiel général de sécurité
Le référentiel général de sécurité (RGS), prévu par l'article 9 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et approuvé par l'arrêté du 6 mai 2010, a été élaboré conjointement par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et par la Direction générale de la modernisation de l'État (DGME) du ministère du Budget, des comptes publics et de la réforme de l'État. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations.
La conformité au référentiel général de sécurité se traduit par l'application d'une part des règles relatives au cadre pour gérer la sécurité des systèmes d'information, et d'autre part des règles relatives aux fonctions de sécurité mises en œuvre.
Conformément à l'article 14 de l'ordonnance n°2005-1516 du 8 décembre 2005, la conformité du téléservice de dépôt des plaintes en ligne a été assurée avant le 18 mai 2011.
Sur les mesures de sécurité
Afin d'assurer la mise en conformité à l'ordonnance n°2005-1516 du 8 décembre 2005, le téléservice de dépôt des plaintes en ligne de la Commission a fait l'objet d'une étude des risques de sécurité des systèmes d'information.
L'étude des risques a permis d'identifier les biens à protéger, les menaces et les objectifs de sécurité pour se protéger de manière proportionnée face aux risques. Les fonctions de sécurité et leur niveau ont été déduits, et les règles du référentiel général de sécurité afférentes à la fonction d'authentification d'un serveur ont été prises en considération.
La Commission note que le flux de données circulant entre le formulaire et le serveur web de la Commission est chiffré à l'aide d'un certificat électronique permettant d'authentifier le serveur (utilisation du protocole HTTPS). Par ailleurs, les données saisies sont vérifiées, les formats et le volume des pièces jointes sont limités, le réseau est cloisonné par rapport au réseau interne de la Commission, les accès sont contrôlés, les données sont sauvegardées et des traces journalisées. Un ensemble de mesures sur l'organisation, les locaux, les matériels, les logiciels et les réseaux, complète le dispositif de sécurité existant et des mesures complémentaires ont été déterminées pour l'améliorer.
En outre, la décision créant le téléservice et ses modalités d'utilisation sont rendues accessibles depuis le téléservice, la décision d'homologation a fait l'objet d'une information sur le site Internet de la Commission, un fournisseur de certificat électronique a été choisi dans la liste des prestataires référencés au sens de l'ordonnance n°2005-1516 du 8 décembre 2005, la protection de la confidentialité et de l'intégrité de la clé privée qu'il aura délivrée pour authentifier le serveur de la Commission est assurée, et le certificat électronique correspondant a été fourni à l'Agence nationale de la sécurité des systèmes d'information et validé.
Un plan d'action a également été établi afin de mettre en œuvre un ensemble de mesures complémentaires, destinées à réduire encore les risques identifiés.
Enfin, la Commission prend acte que l'ensemble des exigences du référentiel général d'interopérabilité sont respectées.
 
Dans ces conditions, la Commission :
• s'engage à mettre en place les mesures prévues et à en assurer le suivi afin de garantir la conformité au référentiel général de sécurité.
• prononce, conformément à la présente délibération, l'homologation du téléservice de dépôt de plaintes en ligne pour une durée de trois ans. 
 
 
 
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la CNAMTS d'une demande d'extension du périmètre d'un traitement de données à caractère personnel  mis en œuvre par la Caisse nationale d'assurance maladie des travailleurs salariés ayant pour finalité la mise sous accord préalable (MSAP) de prestations d'hospitalisation liées ou non à des actes de chirurgie ambulatoire et pour des actes de la classification communes des actes médicaux ; 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale, et notamment son article L. 162-1-17 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, et notamment ses articles 8-IV et 25-I-1° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié;
Vu la délibération n°2008-202 du 17 juillet 2008 autorisant la mise en œuvre par la Caisse nationale d'assurance maladie des travailleurs salariés d'un traitement automatisé de données à caractère personnel ayant pour finalité la mise sous accord préalable (MSAP) de prestations d'hospitalisation pour des actes de chirurgie ambulatoire ;
Vu le dossier et ses compléments ; 
Sur le rapport de M. Jean MASSOT, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Caisse nationale d'assurance maladie des travailleurs salariés (CNAMTS)
Sur les finalités 
La Commission, par la délibération n°2008-202 du 17 juillet 2008 a autorisé la CNAMTS à mettre en œuvre un traitement de données ayant pour finalité la mise sous accord préalable (MSAP) de prestations d'hospitalisation pour des actes de chirurgie ambulatoire. 
La demande présentée concerne l'extension du champ d'application de l'autorisation précitée à des actes hors chirurgie ambulatoire (comprenant d'autres prestations d'hospitalisation et d'autres actes relevant de la classification commune des actes médicaux, CCAM) et des actes de soins de suite et de réadaptation (SSR).
La Commission considère qu'il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi n°78-17 du 6 janvier 1978 modifiée, qui soumettent à la procédure de l'autorisation les traitements de données de santé qui sont justifiés, comme en l'espèce, par un intérêt de santé publique. 
L'article L. 162-1-17 du code de la sécurité sociale prévoit que sur proposition du directeur de l'organisme local d'assurance maladie, la commission exécutive de l'agence régionale de santé (ARS) après mise en œuvre d'une procédure contradictoire, peut décider de subordonner à l'accord préalable du service du contrôle médical de l'organisme de sécurité sociale, pour une durée ne pouvant pas excéder six mois, la prise en charge par l'assurance maladie de prestations d'hospitalisation.
La MSAP concerne les prestations d'hospitalisation donnant lieu à une prise en charge par les régimes obligatoires de sécurité sociale et les actes relevant de la CCAM. 
Les nouvelles actions proposées par la CNAMTS porteront notamment sur les prestations suivantes, d'une part, les actes de chirurgie bariatrique, les actes de chirurgie réparatrice et reconstructive, et d'autre part, les hospitalisations de jour en médecine pour bilan diabétique et les actes ouvrant droit à un forfait Sécurité Environnement, réalisé en hospitalisation de jour.
La procédure de MSAP est précédée d'une procédure contradictoire entre l'établissement et l'ARS puis elle associe l'établissement, la CPAM concernée, le service médical et l'assuré.
Les étapes de la procédure sont les suivantes :
- Prise en charge par la plate forme de services de la CPAM de l'appel du professionnel de santé de l'établissement mis sous accord préalable. La CPAM transfère l'appel vers le service médical.
- Le technicien du service médical déroule par téléphone un questionnaire médico-social pour accepter ou non l'hospitalisation.
- Si les conditions d'un refus sont réunies, le technicien transmet le questionnaire renseigné à un médecin conseil qui après étude contactera l'interlocuteur pour donner son avis.
- Le médecin conseil informe le service administratif (pôle gestion des droits de la CPAM) de son avis. Ce dernier confirme la décision à l'établissement et la notifie à l'assuré par courrier puis renseigne un tableau de suivi des demandes, partagé avec le service médical.
- Une visite de contrôle de l'établissement est effectuée par le médecin conseil qui remplit un tableau de contrôle sur site.
Les finalités de ce traitement de données à caractère personnel poursuivent un objectif de santé publique  et d'équilibre des finances publiques. 
Sur les données traitées
Les catégories de données provenant du questionnaire médico-social conservées par le service médical : nom de l'établissement, nom et téléphone du praticien et de l'anesthésiste, identité de l'assuré et du bénéficiaire des soins, date de naissance, NIR, acte chirurgical prévu, présence ou non d'une affection de longue durée, date d'intervention, critères sociaux renseignant sur les conditions de retour au domicile post opératoire du patient.
Les catégories de données renseignées dans le tableau de suivi partagé entre la CPAM et le service médical : NIR du bénéficiaire, identité, date de naissance, n° FINESS et nom de l'établissement, date de l'intervention, date et nature de la décision du service médical, présence ou non de contestation, révision de la décision suite à des complications.
Les catégories de données renseignées dans le tableau de contrôle du service médical transmis à la CPAM : identité de l'assuré et du bénéficiaire des soins, NIR, date de prise de décision de l'intervention, date d'intervention, date d'entrée, date de sortie, groupe homogène de sortie, avis du service du contrôle médical, avis suivi par l'établissement.
Les catégories de données utilisées pour le contrôle a posteriori : NIR de l'assuré et du bénéficiaire, montants des prestations remboursées, date d'entrée et de sortie, les références du paiement.
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités du traitement.
Sur les destinataires
Les destinataires des informations résultant du traitement sont les médecins-conseils et les techniciens habilités du service médical et des CPAM, pôle gestion des droits et pôle établissement.
Sur l'information et le droit d'accès
L'information, le droit d'accès et les modalités d'exercice sont précisés sur le site internet de l'assurance maladie et par voie d'affichage dans les locaux. 
Le droit d'accès s'exerce auprès du directeur de la CPAM concernée et de l'échelon local du service médical.
L'établissement est informé par courriel de la décision.
Un courrier notifie à l'assuré la décision du service médical accompagné, en cas de refus d'hospitalisation complète, d'une brochure pédagogique sur la chirurgie ambulatoire.
La Commission prend acte de ce que la CNAMTS répond en cela aux exigences de l'article 32 de la loi n°78-17 du 6 janvier 1978 modifiée. 
Sur les mesures de sécurité
Un contrôle d'accès à l'application est mis en place, le réseau est protégé des intrusions extérieures et les données traitées font l'objet de protections particulières.
La Commission considère que les mesures de sécurité mises en place sont satisfaisantes. 
Sur les autres caractéristiques du traitement
Les données sont conservées pendant 3 ans à l'issue de la période de mise sous accord préalable, excepté les données issues des requêtes SIAM ERASME dont la conservation peut être prolongée jusqu'à l'expiration des délais de recours en cas de procédure contentieuse.
Cette durée de conservation des données traitées est proportionnée au regard des finalités poursuivies par le traitement, conformément aux dispositions de l'article 6-2° de la loi n°78-17 du 6 janvier 1978 modifiée. 
Autorise, conformément à la présente délibération, la Caisse nationale d'assurance maladie des travailleurs salariés à mettre en œuvre le traitement susmentionné. 
                                                                       La Présidente
                                                                       
Isabelle FALQUE PIERROTIN
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents MM. Jean-Marie COTTERET, Jean-François CARREZ, Claude DOMEIZEL et Dominique RICHARD, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la décision n° 2011-303C du 6 décembre 2011 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès du Syndicat X ; 
Vu le rapport de M. Philippe GOSSELIN, commissaire rapporteur, adressé par courrier recommandé au Président de X, le 02 février 2012 ;
Vu les observations écrites versées par X le 5 mars 2012, ainsi que les observations orales formulées lors de la séance de la formation restreinte du 8 mars 2012 ; 
Vu les autres pièces du dossier ;
Ayant entendu, lors de la réunion de la formation restreinte du 8 mars 2012:
- M. Philippe GOSSELIN, commissaire, en son rapport ;
- Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
- M. XX de X et M. YY de X, en leur défense ;
Les représentants du Syndicat X ayant pris la parole en dernier,
À adopté la décision suivante :
I. FAITS ET PROCÉDURE
Le Syndicat X (ci-après X ou le Syndicat) est une organisation professionnelle dont l'objet est la promotion des ventes aux enchères publiques volontaires et la défense des intérêts de cette profession auprès des pouvoirs publics.
Le 2 juin 2010, X a entrepris une démarche auprès de la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) aux fins d'obtenir des conseils sur les modalités de diffusion des informations relatives aux mauvais payeurs au regard des exigences posées par la loi du 6 janvier 1978 modifiée. 
Le 6 juillet 2010, une réunion de travail a été organisée avec les services de la Commission ayant entrainé le dépôt, par X, d'une demande d'autorisation ayant pour objet la constitution d'un fichier listant les adjudicataires défaillants, soit ceux n'ayant pas réglé le montant du bordereau d'achat du bien acquis aux enchères.
En avril 2011, X a décidé d'abandonner la procédure de demande d'autorisation après que la commission a sollicité la communication de compléments.
Dans le même temps, le commissaire du Gouvernement auprès du Conseil des ventes volontaires informait la CNIL, le 3 janvier 2011, de l'existence de réclamations formées par des enchérisseurs dont les ordres d'achats n'avaient pas été pris en compte par les sociétés de ventes volontaires du fait d'impayés antérieurs. L'existence d'une liste noire des mauvais payeurs mise en œuvre par X était ainsi révélée à la commission. 
Par décision 2011-303C du 6 décembre 2011, une mission de contrôle a été diligentée dans les locaux de X après autorisation du juge des libertés et de la détention près le Tribunal de Grande Instance de Paris.
Sur la foi des constats effectués lors des opérations de contrôle, la Présidente de la Commission nationale de l'informatique et des libertés a désigné M. Philippe GOSSELIN, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d'engager à l'encontre du Syndicat une procédure de sanction fondée sur le I de l'article 45 de la loi du 6 janvier 1978. 
Le Syndicat, par courrier en date du 5 mars 2012, a adressé à la Commission ses observations sur le rapport. Il a également présenté ses observations orales lors de la séance de la formation restreinte du 8 mars 2012. 
II. MOTIFS DE LA DÉCISION
1. Sur la nature des traitements et le manquement à l'obligation d'accomplir les formalités préalables à la mise en œuvre du traitement
Aux termes de l'article 2 de la loi n° 78-17 du 6 janvier 1978 constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte [...] ou la communication par transmission.
En outre, aux termes de l'article 25-I-4° de cette même loi, les traitements automatisés de données à caractère personnel susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire doivent faire l'objet des formalités auprès de la CNIL préalablement à leur mise en œuvre.
En l'espèce, il est établi que le bureau exécutif de X, dans sa précédente composition, a invité ses adhérents à lui adresser au moyen d'un formulaire préétabli l'identité des adjudicataires défaillants et leurs coordonnées. Ces informations ont été ensuite rassemblées dans des dossiers informatisés dont X a lui-même assuré la diffusion auprès de ses adhérents, et ce depuis à tout le moins l'année 2006. 
Il est par ailleurs établi que X a interrompu ces envois en raison de plaintes de personnes dont les données figuraient dans ledit traitement informatisé, ce dont il avait été averti.
Sur ce, la formation restreinte constate ce qui suit.
La compilation, par moyens informatiques et via un logiciel tableur, des données figurant dans les formulaires de déclaration d'incidents en vue de l'établissement d'une liste d'adjudicataires défaillants, l'enregistrement sur support informatique sous forme de tableaux et la diffusion de ces tableaux aux adhérents de X constituent des traitements automatisés au sens de l'article 2 précité. 
La constitution de telles listes n'est pas, en-soi, prohibée par la loi. 
La formation restreinte, à cet égard, comprend que la profession des commissaires-priseurs se trouve confrontée de plus en plus régulièrement à l'indélicatesse de ses clients et que le développement des ventes par internet a considérablement modifié les conditions d'exercice de la profession, rendant plus complexe la tâche des commissaires-priseurs. Or, la loi interdisant toute vérification de solvabilité préalable au paiement de l'enchère, la tenue d'une liste des mauvais payeurs s'avère être une précaution destinée à protéger les vendeurs contre des remises en vente intempestives de leurs biens et à préserver la confiance dans le système de ventes aux enchères publiques. 
Cependant, une telle liste noire étant susceptible d'exclure des personnes de la faculté de participer à des ventes aux enchères, sa mise en œuvre doit faire l'objet d'une autorisation par la CNIL sur le fondement de l'article 25-I-4°, précité.
L'objet de l'examen préalable de la CNIL sur ces dossiers vise à permettre, entre autres, une vérification des garanties encadrant le fonctionnement du fichier litigieux en vue de prévenir le fichage abusif d'adjudicataires. 
Or, il est établi qu'aucune formalité préalable n'a été effectuée en ce sens auprès de la CNIL, les démarches finalement entreprises par X pour mettre fin à sa propre carence ayant été abandonnées en avril 2011. 
Dans ses observations écrites comme lors de l'audience, X a reconnu que l'obtention d'une autorisation de la CNIL était nécessaire préalablement à la mise en œuvre de cette liste noire. Cependant, il a également fait valoir que le traitement litigieux a été mis en œuvre sur décision des instances décisionnelles du Syndicat, dans leur précédente composition. Le bureau exécutif actuellement en place n'a, de ce fait, pris connaissance de l'existence dudit traitement qu'à l'occasion de la venue de la délégation de contrôle de la CNIL. À cet égard, il fait valoir que les fichiers et traitement mis en cause, outre qu'ils sont inexploitables en pratique, ont été détruits, ce dont il a par ailleurs apporté la preuve à l'audience. 
La formation restreinte prend acte de la volonté du bureau exécutif de X nouvellement composé de coopérer avec la CNIL aux fins de mettre en œuvre un traitement conforme à la loi.