AgentPublic/cnil huggingface dataset:
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
- Introduction à la loi Informatique et Libertés et au RGPD ;
- Les principes fondamentaux relatifs aux traitements de données à caractère personnel ;
- La Commission Nationale de l’Informatique et des Libertés ;
- Les formalités préalables à la mise en œuvre des traitements de données à caractère personnel ;
- L’encadrement des transferts de données à caractère personnel hors de l’Union européenne ;
- Les dispositions pénales associées au non-respect de la loi Informatique et Libertés et du RGPD.
La demande de label présentée par la société OPTIMEX inclut les modules complémentaires suivants : 
présentation de la CNIL et de ses missions ;
présentation des formalités préalables à la mise en œuvre des traitements ;
présentation de l’encadrement des transferts de données hors de l’Union européenne ;
présentation du pouvoir de contrôle a posteriori de la CNIL ;
présentation du pouvoir de sanction de la CNIL ;
présentation des dispositions pénales associées au non-respect du Règlement européen Général sur la Protection des Données.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « formation RGPD » pour la formation intitulée « Règlement Général sur la Protection des Données » de la société OPTIMEX. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Saisine n° 17023553)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société OPTIMEX, le 21 novembre 2017, d’une demande de délivrance de label concernant sa formation intitulée « sensibilisation à la protection des données » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-220 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
- Introduction à la loi Informatique et Libertés et au RGPD ;
- Les principes fondamentaux relatifs aux traitements de données à caractère personnel ;
- La Commission Nationale de l’Informatique et des Libertés. 
La demande de label n’inclut aucun des modules complémentaires du référentiel. 
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « formation RGPD » pour la formation intitulée « sensibilisation à la protection des données » de la société OPTIMEX. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Saisine n° 18003096)
La Commission nationale de l’informatique et des libertés, 
Saisie par le cabinet HAAS Avocats, le 08 février 2018, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « Audit Informatique et Libertés » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « audit de traitement » pour la procédure d’audit intitulée « Audit Informatique et Libertés » Du cabinet HAAS Avocats. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Saisine n° 17017183)
La Commission nationale de l’informatique et des libertés, 
Saisie par le cabinet HARLAY AVOCATS et la société ITRUST, le 22 août 2017, d’une demande de délivrance de label concernant leur procédure d’audit intitulée « Audit de conformité des traitements de données à caractère personnel » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « audit de traitement » pour la procédure d’audit intitulée « Audit de conformité des traitements de données à caractère personnel »  du cabinet HARLAY AVOCAT et de la société ITRUST. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet d’arrêté relatif aux modalités de signalement et de traitement des incidents graves de sécurité des systèmes d’information ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1110-4-1, L. 1111-8-2 et D. 1111-16-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 11-2°-d) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1214 du 12 septembre 2016 relatif aux conditions selon lesquelles sont signalés les incidents graves de sécurité des systèmes d’information ;
Vu l’arrêté du 27 février 2017 relatif au traitement automatisé de données à caractère personnel dénommé portail de signalement des évènements sanitaires indésirables ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant :
La Commission a été saisie par 
la ministre des solidarités et de la santé
 d’une demande d’avis concernant un projet d’arrêté relatif aux modalités de signalement et de traitement des incidents graves de sécurité des systèmes d’information. 
L’article 110 de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, codifié à l’article L. 1111-8-2 du code de la santé publique (CSP), fait obligation aux établissements de santé et les organismes et services exerçant des activités de prévention, de diagnostic ou de soins, de déclarer les  incidents graves de sécurité des systèmes d’information . 
Ce projet d’arrêté (ci-après le projet ) est pris en application de l’article D. 1111-16- 3 du CSP créé par le décret n° 2016-1214 du 12 septembre 2016 relatif aux conditions selon lesquelles sont signalés les incidents graves de sécurité des systèmes d’information. 
Il vise à préciser les modalités de signalement et de traitement des incidents graves et notamment le traitement de données à caractère personnel mis en œuvre dans ce cadre par l’ASIP santé.
Afin d’apporter un appui et un accompagnement aux structures de santé concernées par la déclaration de ces incidents, le ministère de la santé met en place un dispositif pour traiter leur signalement, en lien avec les ARS, l’ASIP Santé et les services du haut fonctionnaire de défense et de sécurité des ministères chargés des affaires sociales.
La déclaration d’un incident grave de sécurité est effectuée par les établissements concernés sur le portail de signalement des évènements sanitaires indésirables prévu par l’arrêté du 27 février 2017 précité. 
Les déclarations sont récupérées, d’une part, par l’ARS territorialement compétente et, d’autre part, par l’ASIP santé. 
L’ASIP santé informe la structure concernée de la prise en compte de sa déclaration, analyse celle-ci et qualifie les incidents signalés lorsqu’ils constituent des incidents significatifs, pour le compte de l’ARS compétente. Cette dernière est alors tenue informée de la qualification de l’incident. 
Enfin, l’ASIP santé informe les agences ou autorités compétentes de l’Etat, conformément à l’article D. 1111-16- 3 du CSP. 
Si le circuit de déclaration décrit dans le projet d’arrêté s’écarte de celui initialement prévu par les textes, l’ASIP santé a précisé que ce schéma ne pouvait avoir pour effet de remettre en cause les responsabilités définies dans le décret.
Sur le responsable de traitement et les formalités préalables :
Les déclarations d’incident graves reçues sur le portail sont transmises à l’ARS compétente et à l’ASIP santé.
Les ARS sont donc destinataires, dès l’origine, des déclarations qui les concernent. 
Ainsi, la Commission constate qu’il existe deux traitements distincts de données à caractère personnel : le traitement mis en œuvre par l’ASIP santé et mentionné à l’article D. 1111-16-3 du CSP d’une part, celui mis en œuvre par l’ARS territorialement compétente d’autre part. 
Ces traitements doivent faire l’objet des formalités préalables prévues par la loi et présenter des garanties similaires en matière de protection des données. 
Concernant les formalités devant être effectuées par l’ASIP Santé, la Commission relève que l’article 4 du projet prévoit que le traitement de données à caractère personnel qu’elle met en œuvre est  autorisé par le présent arrêté ;  la Commission étant saisie sur le fondement de l’article 11-2°-d) de la loi, le traitement mis en œuvre par l’ASIP Santé devra faire l’objet d’une déclaration normale ou être inscrit dans le registre du correspondant informatique et libertés, conformément à l’article 22 de cette même loi. Chaque ARS devra, elle aussi, effectuer une telle déclaration.
Par ailleurs, la Commission prend acte de l’engagement du ministère de modifier l’article 4 du projet afin de remplacer le terme  autorisé  par  créé .
Sur les finalités : 
La Commission n’a pas d’observations à formuler sur ce point. 
Sur la nature des données :
La Commission n’a pas d’observations à formuler sur ce point. 
Sur les destinataires des données : 
La Commission n’a pas d’observations à formuler sur ce point. 
Sur l’information et les droits des personnes : 
L’article 8 du projet prévoit que l’ASIP santé et les ARS compétentes procèdent à l’information des personnes concernées, conformément à l’article 32 de la loi informatique et libertés . 
Le dossier produit à l’appui du projet précise que l’ASIP santé informe les déclarants via le portail de son rôle ainsi que des finalités du traitement, au travers des mentions légales du site et des conditions générales d’utilisation (CGU). L’utilisateur devra systématiquement accepter les CGU avant de pouvoir déclarer. 
La Commission souhaite rappeler que l’information délivrée dans le cadre du traitement objet de la présente saisine doit être distincte de l’information délivrée par l’ASIP santé dans le cadre du traitement de données relatif à la gestion du 
portail de signalement des évènements sanitaires indésirables.
Par ailleurs, l’article précité précise que le droit d’opposition prévu à l’article 38 de la loi informatique et libertés ne s’applique pas au présent traitement. 
Si le signalement des incidents de sécurité constitue une obligation légale justifiant ainsi l’exclusion de l’exercice du droit d’opposition, la mise en œuvre d’un service d’information et d’accompagnement est, quant à elle, facultative. Le droit d’opposition doit donc pouvoir s’exercer.
La Commission prend acte de l’engagement du ministère de modifier le projet afin de préciser que l’exclusion du droit d’opposition ne porte que sur les traitements de données à caractère personnel strictement nécessaires à la réalisation de l’obligation légale de signalement et de traitement des incidents graves de sécurité des systèmes d’information.
Sur les durées de conservation : 
L’article 7 du projet prévoit que les données collectées dans le cadre du traitement des incidents graves de sécurité sont conservées pendant la durée nécessaire à la gestion de l’incident de sécurité avant de faire l’objet d’un archivage.
La Commission relève que, d’une part, la durée durant laquelle ces données sont archivées et, d’autre part, les personnes habilitées à y accéder ne sont pas précisées par le projet.
Elle recommande que les ARS définissent des durées d’archivage uniformisées dans la mesure où les traitements mis en œuvre par ces dernières sont similaires.
La Commission souhaite également rappeler que les données archivées ne devront être accessibles que par un nombre limité de personnes habilitées à y accéder en raison de leurs fonctions.
Sur les mesures de sécurité :
La Commission relève que les articles 5 et 6 du projet prévoient que l'ASIP santé et les ARS sont responsables de la mise en œuvre des mesures de sécurité destinées à garantir la confidentialité et l'intégrité des données à caractère personnel de leurs traitements respectifs.
Cependant, elle relève que seul l’article 5 concernant l’ASIP santé mentionne des mesures particulières et que le dossier produit à l’appui du projet décrit uniquement les mesures de sécurité qui sont envisagées par l’ASIP santé.
Considérant les risques que le traitement d’informations sur des incidents et failles de sécurité peut faire peser sur tous les systèmes d’information traitant des données personnelles, la Commission considère que certaines mesures de sécurité devraient être mises en œuvre par les traitements de l’ASIP santé comme par ceux des ARS. Elle recommande d’ajouter à l’arrêté un article rédigé comme suit :
[Sécurité des données]
Afin de garantir la sécurité des données des traitements visés par le présent arrêté, des mesures de sécurité doivent être définies au regard d’une analyse des risques ; elles doivent être matérialisées dans une politique de sécurité et faire l’objet de contrôles et de révisions régulières au vu des évolutions des traitements, de leurs usages et de leur environnement. 
Ces mesures de sécurité peuvent ainsi comprendre :
des moyens d’authentification et de gestion des habilitations encadrant l’accès aux données et aux locaux par les personnes habilitées ;
des mécanismes de chiffrement préservant la confidentialité des flux de données, , celle des bases de données et des sauvegardes ;
une journalisation et un contrôle des traces permettent de détecter des comportements anormaux et de lever des alertes ;
des procédures de sécurité sont définies et appliquées pour les échanges d’informations effectués par courriel, papier et téléphone ;
des clauses spécifiques dans les contrats de sous-traitance encadrent la sécurité des données. 
Sur la modification de l’arrêté portail de signalement des évènements sanitaires indésirables : 
La Commission n’a pas d’observations à formuler sur ce point. 
Pour la Présidente, 
Le Vice-Président Délégué
 
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie et des finances d'une demande d'avis concernant un projet de modification du décret n° 2014-393 du 29 mars 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé compte individuel retraite (CIR) et à la gestion de ce compte par le service des retraites de l'Etat ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6 et 27-I ;
Vu la loi n° 84-16 du 11 janvier 1984 modifiée portant dispositions statutaires relatives à la fonction publique de l'Etat, notamment son article 65 ;
Vu le décret n° 60-1089 du 6 octobre 1960 modifié relatif à l'application des dispositions de l'article 23 bis de l'ordonnance n° 59-244 du 4 février 1959 relative au statut général des fonctionnaires ;
Vu le décret n° 2007-1796 du 19 décembre 2007 relatif à la cotisation et à la contribution dues pour la couverture des charges de pensions et allocations temporaires d'invalidité des fonctionnaires de l'Etat, des magistrats et des militaires détachés ainsi que des agents des offices ou établissements de l'Etat dotés de l'autonomie financière ;
Vu le décret n° 2009-1052 du 26 août 2009 portant création du service des retraites de l'Etat ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le ministère de l'économie et des finances souhaite modifier le traitement automatisé de données à caractère personnel destiné à la gestion du Compte Individuel de Retraite (CIR) de l'Etat créé par un décret du 29 mars 2014, lequel permet plus précisément :
- la constitution du compte individuel de retraite de chaque fonctionnaire, magistrat et militaire prévu à l' article R. 65 du code des pensions civiles et militaires de retraite ;