AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, M. Alexandre LINDEN, Vice-président, Mme Marie-Hélène MITJAVILE, Mme Dominique CASTERA, M. Sébastien HUYGUE et M. Maurice RONAI, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la saisine n° 13016955 reçue par la Commission le 3 juin 2013 ; 
Vu la décision n° 2014-019 du 13 mai 2014 de la Présidente de la Commission mettant en demeure la société X (nom commercial société Y) ; 
Vu la décision de la Présidente de la Commission portant désignation d'un rapporteur, en date du 1er juillet 2014 ;
Vu le rapport de M. Eric PERES, commissaire rapporteur, adressé à la société X (nom commercial Y) le 18 juillet 2014 par courrier avec avis de réception présenté le 23 juillet 2014 et non réclamé dans le délai d'instance ; 
Vu les autres pièces du dossier. 
Ayant entendu, lors de la séance de la formation restreinte du 9 octobre 2014 : - M. Eric PERES, commissaire, en son rapport ;- Mme Catherine POZZO DI BORGO, Commissaire du Gouvernement adjoint, en ses observations ; La société n'a présenté aucune observation écrite et n'était pas représentée à l'audience de la formation restreinte ; 
A adopté la décision suivante : 
I. FAITS ET PROCEDURE
La société X, dont le nom commercial est Y (ci-après la société), sise [...], intervient dans le secteur de l'énergie et des travaux d'installation électrique dans tous locaux. 
La Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) a été saisie le 3 juin 2013 par un plaignant et son épouse ayant exercé leur droit d'opposition auprès de la société qui ne leur a pas répondu. 
La Commission a ainsi demandé à la société, par plusieurs courriers en date des 25 juillet, 22 août et 28 novembre 2013, de bien vouloir prendre en compte le droit d'opposition du couple. Une ultime relance, notifiée par lettre recommandée avec avis de réception le 2 décembre 2013, précisait qu'en l'absence de réponse dans un délai de dix jours, la Commission était susceptible d'engager une procédure de sanction à son encontre.
Ces courriers étant demeurés infructueux, la Présidente de la CNIL a mis en demeure la société X de se conformer à la loi Informatique et Libertés par décision n° 2014-019 du 13 mai 2014. Le pli, avisé le 16 mai 2014, a été retourné avec la mention non réclamé. 
En l'absence de conformité à la mise en demeure et aux fins d'instruction de ces éléments, la Présidente de la Commission a désigné M. Eric PERES en qualité de rapporteur, le 12 août 2014, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, le rapporteur a notifié à la société, par lettre recommandée avec avis de réception, un rapport détaillant les manquements à la loi qu'il estimait constitués en l'espèce. Ce pli, avisé le 23 juillet 2014 et non réclamé dans le délai d'instance, a été retourné à la Commission. Le rapport proposait à la formation restreinte de la Commission de prononcer une sanction pécuniaire d'un montant de 5.000 €, dont il sollicitait par ailleurs qu'elle soit rendue publique. 
Était également jointe au rapport une convocation à la séance de la formation restreinte du 25 septembre 2014 indiquant à la société qu'elle disposait d'un délai d'un mois pour communiquer ses observations écrites. 
La Commission a par ailleurs adressé un courrier recommandé avec avis de réception par lequel elle informait la société d'un report d'audience au 9 octobre 2014. Ce pli, avisé le 29 août 2014, a été retiré par la société le 5 septembre 2014.
La société n'a pas produit d'observations écrites sur le rapport et ne s'est pas présentée à la séance de la formation restreinte du 9 octobre 2014. 
II. MOTIFS DE LA DECISION
1. Sur le manquement à l'obligation de respecter le droit d'opposition
La Présidente de la Commission a mis en demeure la société de respecter l'article 38 de la loi du 6 janvier 1978 modifiée qui dispose que Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. / Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur. / Les dispositions du premier alinéa ne s'appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement. 
La formation restreinte constate, sans que cela ne soit contesté, que la société ne justifie pas avoir pris en compte la demande des plaignants d'opposition au traitement de leurs données à caractère personnel. En outre, les plaignants ont confirmé à la Commission par courriel du 5 janvier 2014 que la société n'avait toujours pas répondu à leur demande. Il en résulte que la société a donc manqué aux exigences de la mise en demeure sur ce point.
Sur la base de ces éléments, la formation restreinte considère que le manquement à l'article 38 de la loi du 6 janvier 1978 modifié est constitué. 
2. Sur le manquement à l'obligation de répondre aux demandes de la CNIL
La Présidente de la Commission a mis en demeure la société de respecter les dispositions de l'article 21 alinéa 2 de la loi du 6 janvier 1978 modifiée qui mentionnent que les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche. 
En effet, la société a manqué à son obligation de coopération à plusieurs titres, notamment en ne répondant pas aux nombreux courriers que la Commission lui a adressés, en particulier ceux adressés par voie de lettres recommandées avec demande d'avis de réception.
La formation restreinte relève toutefois que le courrier informant la société du report de l'audience, a été adressé le 29 août 2014 avec demande d'avis de réception, et a été retiré auprès de la poste par la société le 5 septembre 2014. 
La formation restreinte constate, dès lors, que la société n'a pas respecté les termes de la mise en demeure sur ce point et considère que le manquement à l'article 21 de la loi du 6 janvier 1978 modifié est constitué.
3. Sur la sanction et la publicité
La société X n'a pas respecté les termes de la mise en demeure de la Présidente de la Commission en date du 13 mai 2014 et ne s'est pas mise en mesure de respecter les dispositions de la loi n°78-17 du 6 janvier 1978 modifiée. 
La formation restreinte décide par conséquent de prononcer à son encontre une sanction pécuniaire de 3.000 € (trois mille euros). 
En outre, la formation restreinte décide de rendre cette décision publique afin d'informer le public des conséquences d'un refus manifeste de coopération avec la Commission. 
PAR CES MOTIFS 
La formation restreinte de la CNIL, après en avoir délibéré, décide : 
- De prononcer une sanction pécuniaire d'un montant de trois mille euros (3.000 €) à l'encontre de la société X (nom commercial Y) ; - De rendre publique sa décision sur le site Internet de la CNIL et sur le site Légifrance. 
Le Président 
Jean-François CARREZ
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de la sécurité sociale, et notamment ses articles R.165-1 et suivants ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6, 8-IV, 25-I-1° et 25-II ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Sur proposition de M. Alexandre LINDEN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
La Commission a adopté par délibération n° 2014-046 du 30 janvier 2014 une autorisation unique de traitements de données à caractère personnel mis en œuvre par les prestataires de santé à domicile pour la téléobservance en application de l'arrêté du 22 octobre 2013 relatif aux dispositifs médicaux à pression positive continue ;  Par décision du 28 novembre 2014 (CE, 28 novembre 2014, Union nationale des associations de santé à domicile et autres, n° 366931, 374202, 374353), le Conseil d'Etat a annulé l'article 2 de l'arrêté du 22 octobre 2013 précité portant modification des modalités d'inscription et de prise en charge du dispositif médical à pression positive continue pour traitement de l'apnée du sommeil et prestations associées au chapitre 1er du titre Ier de la liste des produits et prestations remboursables prévue à l'article L. 165-1 du code de la sécurité sociale, en tant qu'il insère, en premier lieu, les points III à VII au paragraphe 4 de la sous section 2 de la section 1 du chapitre 1er du titre Ier de cette liste, à l'exception de la mention de la prise en charge du forfait 9.4 par l'assurance maladie et de sa subordination à l'accord préalable du médecin-conseil, et, en second lieu, des dispositions mentionnant le dispositif de contrôle de l'observance du traitement de l'apnée du sommeil au point II du même paragraphe, ainsi que l'article 3 du même arrêté.
Cette annulation rend sans objet l'autorisation unique susmentionnée.
Décide :
Article 1er : L'autorisation unique n°33 adoptée par délibération n°2014-046 du 30 janvier 2014 est abrogée.
Article 2 : La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par la ministre des affaires sociales et de la santé d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à la facturation individuelle des établissements de santé publics et privés visés aux a, b et c de l'article L. 162-22-6 du code de la sécurité sociale (FIDES) ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de la santé publique, notamment ses articles L. 6145-8, L. 6145-9, D. 6145-54-3 et D. 6145-54-4 ;Vu le code de la sécurité sociale, notamment son article L. 174-2-1 ;Vu le code général des collectivités territoriales, notamment ses articles L. 1617 et D. 1617-23 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I-1°;Vu l'article 33 de la loi de financement de la sécurité sociale pour 2004 modifié ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2012-1246 du 7 novembre 2012 relatif à la gestion budgétaire et comptable publique
;Après avoir entendu M. Nicolas COLIN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l'avis suivant :La Commission a été saisie par la ministre des affaires sociales et de la santé d'une demande d'avis concernant un projet de décret en conseil d'Etat relatif à la facturation individuelle des établissements de santé publics et privés visés aux a, b et c de l'article L. 162-22-6 du code de la sécurité sociale (FIDES).
Ce projet de décret vise à définir les modalités de mise en œuvre de la facturation individuelle réalisée par les établissements de santé susmentionnés et crée à cet effet un traitement automatisé de données à caractère personnel, suite au bilan positif d'une expérimentation de la facturation individuelle et directe des consultations et des séjours aux caisses d'assurance maladie. Cette expérimentation a été menée dans un premier temps dans 34 établissements de santé, afin de pouvoir apprécier les bénéfices et les risques du passage à ce mode de facturation.
Il est pris pour l'application de l'article L. 174-2-1 du code de la sécurité sociale et de l'article 33 de la loi de financement de la sécurité sociale pour 2004 modifié. 
Le dispositif FIDES opère une dématérialisation du circuit des échanges d'informations entre l'assurance maladie obligatoire et les trésoreries hospitalières dans le cadre de la facturation individuelle. Les factures sont télétransmises selon une norme technique utilisée par l'ensemble des acteurs de la chaîne de facturation.
Le projet de décret définit les modalités d'échange dématérialisé de factures, de liquidation et de paiement des créances, ainsi que les modalités de régularisation des factures erronées.
Le dispositif FIDES implique un traitement de données de santé à caractère personnel et de données administratives relatives aux bénéficiaires de soins facturés, parmi lesquelles figurent le numéro d'identification au répertoire national d'identification des personnes physiques.
Conformément à l'article 27-1 (1°) de la loi du 6 janvier 1978 modifiée,  sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés , les traitements de données à caractère personnel mis en œuvre pour le compte d'une personne morale de droit public  qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques .Sur la finalité du traitement :Le projet d'article R. 174-2-8 du code de la sécurité sociale (CSS) prévoit la création d'un traitement de données à caractère personnel dénommé  facturation individuelle des établissements de santé  mis en œuvre par les établissements visés aux a, b et c de l'article L. 162-22-6 du même code, par leur comptable public s'agissant des établissements publics de santé visés au a de cet article et par les organismes gestionnaires de l'assurance maladie obligatoire.
Ce traitement doit permettre :
-	de mettre en œuvre les procédures définies par le présent code pour la facturation individuelle des établissements visés aux a, b et c de l'article L. 162-22-6 aux organismes gestionnaire de l'assurance maladie obligatoire et le paiement par ces organismes à ces établissements de manière dématérialisée ;-	d'effectuer avant leur paiement les contrôles par l'assurance maladie obligatoire des sommes dues aux établissements visés au a, b et c de l'article L. 162-22-6 ;-	de produire des statistiques au profit des services de l'État placés sous l'autorité des ministres chargés de la santé, de la sécurité sociale et du budget.
La Commission considère que les finalités poursuivies par ce traitement sont déterminées, explicites et légitimes.
Elle relève en outre que les données de liquidation des factures seront intégrées au Système national d'information interrégimes de l'assurance maladie (SNIIRAM).  Elle prend acte de ce que cette intégration ne générera pas de doublon avec les données issues du Programme de Médicalisation des Systèmes d'Information (PMSI). 
Elle rappelle que le SNIIRAM n'a pas pour finalité de réaliser un contrôle de cohérence entre les données issues du dispositif FIDES et celles du PMSI.
Sur la nature des données traitées :Le projet d'article R. 174-2-9 du CSS prévoit le traitement des données ou catégories de données à caractère personnel suivantes :-	les données d'identification des bénéficiaires des soins facturés (nom, prénom, sexe, date de naissance, mention du décès le cas échéant) ; -	leur numéro d'identification au répertoire national d'identification des personnes physiques (NIR) ou, pour les personnes en instance d'attribution d'un NIR, un numéro d'identifiant d'attente (NIA) mentionné à l'article R. 114-26 ;-	les données d'affiliation et de rattachement aux régimes d'assurance maladie ;-	les dates de soins ;-	les montants facturés ;-	les données relatives aux prestations de santé remboursées (consultations et actes externes, prestations d'hospitalisation, médicaments, produits de santé et prestations pris en charge ou remboursés par l'assurance maladie, prestations aux bénéficiaires de l'aide médicale d'Etat).
Ces données apparaissent adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée. Le dispositif FIDES repose sur le traitement de données sensibles au regard de la loi du 6 janvier 1978 modifiée, mais évidemment nécessaires au regard de la finalité poursuivie par le dispositif de facturation individuelle des soins.
Sur la durée de conservation des données :Le projet d'article R. 174-2-11 du CSS prévoit que les données transmises dans le cadre du traitement FIDES seront conservées pendant trois ans dans la base active puis archivées pour une durée supplémentaire de sept ans par les organismes gestionnaires de l'assurance maladie obligatoire et les établissements visés aux a, b et c de l'article L. 162-22-6.
La conservation des données dans les conditions précitées n'appelle pas d'observations de la Commission.
Sur les destinataires des données :Le projet d'article R. 172-2-10 du CSS prévoit les destinataires des données suivants :-	les agents habilités des organismes gestionnaires de l'assurance maladie obligatoire et des établissements visés aux a, b et c de l'article L. 162-22-6 ;-	les agents des services comptables publics des établissements publics de santé visés au a de l'article L. 161-22-6 nécessaires à l'imputation budgétaire et au recouvrement des factures correspondant aux prestations mentionnées au 6° de l'article R. 174-2-9.
Cette liste de destinataires n'appelle pas d'observation, compte tenu du caractère nécessaire de l'accès de ces personnes aux données susmentionnées, afin de permettre la facturation individuelle des actes et des séjours hospitaliers.
Les accès aux données se font après authentification des personnes. Ils sont systématiquement tracés et les transferts de données sécurisés.
Les accès dans les conditions précitées n'appellent pas d'observations.
Sur l'information et les droits d'accès et de rectification des personnes concernées :La Commission relève que le projet de décret ne comporte aucune disposition particulière concernant l'information des personnes.
Outre l'information par voie de publication du décret au Journal Officiel de la République française, elle recommande les modalités d'information suivantes, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée :-	une information par voie d'affichage dans les établissements participant au dispositif FIDES et sur leur site Internet ;-	une mention dans les livrets d'accueil des établissements de santé.
Le projet d'article R. 174-2-12 du CSS prévoit que les bénéficiaires des soins peuvent exercer leurs droits d'accès et de rectification des données les concernant auprès de l'organisme d'assurance maladie obligatoire dont ils relèvent.
Il prévoit en outre que le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au présent traitement autorisé par l'article R. 174-2-8 du code de la sécurité sociale, celui-ci répondant à une obligation légale.
La Commission estime que ces modalités d'information et d'exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :L'article 3 du projet de décret rappelle que le responsable de traitement doit prendre  toutes les mesures nécessaires à la préservation de la sécurité des données énumérées à l'article R. 174-2-9 , et ce conformément à l'article 34 de la loi  Informatique et Libertés .
La Commission rappelle qu'il appartient au ministère des affaires sociales et de la santé d'attester de la conformité du traitement susmentionné au décret n° 2010-112 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. La Commission demande à ce qu'une analyse de risques menée en application du référentiel général de sécurité, mentionné par le décret n° 2010-112 précité, lui soit transmise six mois avant que le dispositif ne soit imposé à tous les établissements de santé.
S'agissant de l'authentification des personnes, la Commission recommande l'utilisation de mots de passe d'une longueur minimale de dix caractères pour les utilisateurs disposant de privilèges élevés tels que les administrateurs du système et de huit caractères pour les autres personnels. Les mots de passe doivent contenir trois types de caractères (minuscules, majuscules, chiffres et/ou caractères spéciaux) et doivent être modifiés par l'utilisateur dès sa première connexion, puis régulièrement. En outre, les mots de passe ne doivent pas être conservés en clair dans un fichier ou une base de données.
La Commission prend acte que, quel que soit l'établissement émetteur des factures, les données sont chiffrées préalablement à leur transmission à la caisse de paiement unique en recourant à l'algorithme 3-DES. La Commission prend acte de l'engagement du ministère de recourir à un algorithme de chiffrement reconnu fort, tel que l'algorithme AES-256 bits, préalablement à la généralisation du dispositif.
Après avoir effectué les vérifications liées au format des données reçues ainsi qu'à l'émetteur des flux, la caisse de paiement unique transmet les factures individuelles aux caisses gestionnaires dont dépendent les patients. Ces transferts sont réalisés sur le réseau SESAM-Vitale ou sur le réseau du régime général de l'Assurance Maladie. La Commission a déjà eu à se prononcer sur la sécurité de ces réseaux. Elle souhaite toutefois que l'intégralité du dispositif soit expertisée par l'Agence Nationale de Sécurité des Systèmes d'Information (ANSSI) et que les résultats de l'analyse opérée lui soit communiqués dès que possible.
A réception des données, la caisse gestionnaire, responsable des contrôles de la liquidation des factures, effectue un contrôle des factures (conformité aux conditions de prise en charge par l'assurance maladie obligatoire et aux modalités de facturation prévues par le CSS), puis les transmet à la CPU.
Les transmissions de données de la caisse gestionnaire à la CPU sont réalisées sur le réseau SESAM-Vitale ou sur le réseau du régime général de l'Assurance Maladie.