AgentPublic/cnil huggingface dataset:
- la prise en charge d'une formation professionnelle pour accéder à un poste moins ou non exposé aux facteurs de risque ; - un passage à temps partiel sans baisse de rémunération ; - un départ anticipé en retraite.
Le compte, dont la gestion est assurée par la CNAVTS, prend la forme  d'un portail sur lequel les salariés peuvent se créer un espace  personnel et consulter la synthèse des points acquis. Les employeurs  disposent également d'un espace qui leur est propre pour notamment  consulter leurs déclarations et transmettre les pièces justificatives. Le traitement dont la commission a été saisie pour avis, tel que  précisé par le projet de décret, vise ainsi à permettre la gestion et le  suivi des comptes personnels de prévention de la pénibilité en  application de l' article L. 4162-1 et suivants du code du travail, et plus précisément à permettre :
- le contrôle du nombre de points acquis et le suivi des recours ; - l'utilisation, par le salarié, de ses points ; - la conservation des informations relatives aux conditions de  travail des salariés exposés aux facteurs de risque professionnels ;  - la production de statistiques anonymes à des fins de pilotage des  politiques publiques en matière de retraites et de prévention de la  pénibilité.
La commission considère que ces finalités sont déterminées, explicites et légitimes.  Sur la nature des données traitées : Les données enregistrées dans le  compte personnel de prévention de  la pénibilité  concernent les travailleurs salariés affiliés au régime  général ou à la mutualité sociale agricole et portent sur : Des données relatives aux salariés :
- données d'identification du salarié : NIR ou, le cas échéant, le  numéro identifiant d'attente (NIA) attribué par la CNAVTS aux personnes  qui sont en cours d'immatriculation ou aux personnes dont les données  d'état civil sont incomplètes ou n'ont pas été confirmées par une pièce  d'état civil, nom de famille, nom d'usage et prénoms, sexe, date et le  lieu de naissance, le cas échéant, date de décès, commune, département  et pays de résidence du salarié adresses postale et électronique  personnelles du salarié et son numéro de téléphone ; - données relatives à la vie professionnelle du salarié et plus précisément à la nature du contrat de travail ; - données relatives à l'exposition aux facteurs de risque : périodes d'expositions, facteurs de risque professionnels ; - données relatives aux cotisations du salarié : montant des cotisations, montant de l'assiette, taux de cotisation ; - données relatives au nombre de points acquis par un salarié au cours de sa carrière ; - données relatives à l'utilisation des points acquis : nombre de  points convertis en heures de formation professionnelle au titre de l' article L. 4162-5 du code du travail, périodes de réduction de durée de travail au titre de l' article L. 4162-6 du code du travail, trimestres de majoration de durée d'assurance acquis au titre de l' article L. 351-6-1 du code de la sécurité sociale, traçabilité des actions réalisées à la demande du salarié par les agents des organismes compétents ;
Des données relatives aux employeurs : SIRET, code d'activité  principale (NAF) et code du régime d'affiliation, raison sociale,  adresse postale, code INSEE de la commune, effectifs de l'entreprise,  relevé d'identité bancaire de l'employeur, taux de cotisations  applicables et montant de cotisation déclaré ; Des données relatives aux financeurs de formations professionnelles : données d'identification, relevé d'identité bancaire. S'agissant de la collecte et du traitement du NIR, la commission  relève que cette donnée n'est traitée que par des organismes qui y sont  habilités dans le cadre de leurs missions. Le projet de décret énonce que les personnes sont identifiées par le  NIR ou NIA ainsi que par le ou les numéros d'inscription qui leur  auraient été précédemment attribués. Interrogée sur ce point, la  direction de la sécurité sociale a indiqué qu'un seul des deux numéros  permettant l'identification des salariés, le NIR ou à défaut le NIA,  serait collecté et traité. Ainsi, les données d'un salarié ne sont  rattachées qu'à son NIR ou, en attendant qu'un N1R lui soit attribué, à  son NIA qui constitue un NIR de gestion. S'agissant des données relatives à l'utilisation des points par les  salariés, le responsable de traitement a indiqué que sont collectées les  données liées à la gestion administrative du compte et plus précisément  à la traçabilité des actions effectuées par les agents, à la demande  des salariés souhaitant utiliser leurs points. La commission observe
que  ces données ne figurent pas dans le projet de décret. Elle prend  néanmoins acte de l'engagement pris par le responsable de traitement de  modifier le projet de décret en ce sens. Sous ces réserves, la commission considère que ces données sont  adéquates, pertinentes et non excessives au regard des finalités pour  lesquelles elles sont collectées et au regard de leurs traitements  ultérieurs. Sur l'origine des données et les modes d'alimentation du traitement : Le CPPP est alimenté par les déclarations des employeurs, la  déclaration sociale nominative, ou à défaut la déclaration annuelle des  données sociales, le titre emploi-service entreprise ou encore,  s'agissant des employeurs agricoles, par les déclarations spécifiques  envisagées par le  code rural et de la pêche maritime que sont le titre emploi simplifié agricole ou la déclaration trimestrielle des salaires. Les données relatives à l'adresse postale sont quant à elles issues  des déclarations des employeurs et du répertoire national commun de la  protection sociale (RNCPS), institué par l' article L. 114-12-1 du code de la sécurité sociale pour notamment garantir la fiabilité des informations détenues par les organismes sociaux. Enfin, les données relatives à l'adresse électronique sont également issues du RNCPS. Les données du compte alimentent le répertoire de gestion des  carrières unique ou, à défaut, le système national de gestion des  carrières de la Caisse nationale d'assurance vieillesse, réunissant
les  informations relatives à la carrière professionnelle des assurés  sociaux. Les modes d'alimentation du traitement n'appellent pas d'observation de la part de la commission. Sur la durée de conservation des données : Le projet de décret portant création du compte personnel de  prévention de la pénibilité prévoit que les données sont conservées sur  le compte du travailleur salarié, cinq ans à compter de la liquidation  de sa pension vieillesse ou, le cas échéant, de son décès, afin  notamment de s'assurer de la disponibilité des données dans  l'éventualité d'un contentieux. Le salarié dispose toujours d'un accès  au compte pour simple consultation des informations pendant ces cinq  années après liquidation de sa pension vieillesse. Interrogé sur cette durée de conservation, le responsable de  traitement a indiqué s'être fondé sur les dispositions de la loi du 17  août 2015 qui a abaissé à trois ans le délai de recours, et y avoir  ajouté un délai supplémentaire de deux ans pour s'assurer de la  disponibilité des documents au cas où un recours contentieux serait  exercé peu de temps avant l'expiration du délai de recours légal. La commission s'interroge sur la pertinence de cette durée dans la  mesure où le délai légal de recours en attribution de points, pour le  salarié, est désormais de deux années civiles suivant la fin de l'année  au titre de laquelle des points ont été ou auraient dû être portés au  compte, conformément à l' article L. 4162-16 du code du travail.
En revanche, les organismes chargés du contrôle de l'effectivité de la  pénibilité peuvent exercer un redressement durant les trois années  civiles suivant la fin de l'année au titre de laquelle des points ont  été ou auraient dû être inscrits au compte, conformément à l'article L.  4162-12 du même code. La commission ajoute qu'en cas de recours contentieux, les  informations y afférentes peuvent être conservées jusqu'à l'extinction  de l'action contentieuse. Au vu de ces éléments, la commission rappelle la nécessité :
- de conserver les données en base active, sur le compte personnel  de prévention de la pénibilité, tant que le salarié peut disposer de ses  droits ;  - de les conserver ensuite en archivage intermédiaire, dans une base  distincte, pendant trois ans à compter de la liquidation de la pension  de vieillesse du salarié ou, le cas échéant, trois ans après son décès.
La commission prend acte que le ministère s'est engagé à modifier le  projet de décret pour indiquer que  les données mentionnées à  l'article 2 sont conservées dans le compte personnel de prévention de la  pénibilité trois ans après la liquidation de la pension de vieillesse  du salarié ou, le cas échéant, après son décès, ou jusqu'à  l'intervention d'une décision définitive en cas de contentieux . S'agissant de l'élaboration des statistiques anonymes mentionnées  dans le projet de décret, la commission est informée que des mesures  sont adoptées afin d'éviter les risques de ré-identification. Ainsi les  données directement identifiantes, telles que les données nominatives,  les RIB ou encore le NIR, sont supprimées des jeux de données. En outre,  les données servant de base aux statistiques sont conservées dans un  environnement logique séparé, distinct du compte personnel de prévention  de la pénibilité. Enfin, pour la présentation des résultats, des seuils  sont appliqués pour éviter que les statistiques obtenues ne permettent  la ré-identification d'un assuré. La commission recommande que davantage de mesures de sécurité soient  prises pour, d'une part, évaluer les risques de ré-identification des  personnes par l'agglomération de données indirectement identifiantes et  pour, d'autre part, pouvoir y répondre. Sur les destinataires des données et les mises en relation du traitement : Tel que précisé par le projet de décret examiné par la commission,  les données du
traitement sont accessibles aux personnes habilitées  listées ci-après, dans la stricte limite des informations dont elles ont  à connaître au regard de leurs fonctions :
- les salariés accédant à l'espace personnel de leur CPPP via le  portail d'offres de services pour consulter leur compte, effectuer une  demande d'utilisation des points ou transmettre des pièces  justificatives ; - les employeurs accédant à leur espace employeur via ce même  portail pour consulter les informations les concernant et transmettre  des pièces justificatives ; - les agents de la CNAVTS, les agents des organismes du régime  général chargés de l'assurance vieillesse et les agents des organismes  de la MSA, individuellement désignés et dûment habilités par le  directeur de leur organisme, accédant à l'intégralité des données du  compte ; - les agents des organismes du régime général chargés de la gestion  du risque accidents du travail et maladies professionnelles, accédant  aux données du compte excepté les adresses postale et électronique ainsi  que les relevés d'identité bancaire ; - conformément aux dispositions de l'article 7 bis de la loi du 7  juin 1951, les services statistiques des ministères en charge du  travail, des affaires sociales et de la santé, s'agissant des données du  compte excepté les adresses postale et électronique ainsi que les  relevés d'identité bancaire ; - les agents exerçant des activités statistiques, individuellement  désignés et dûment habilités au sein de la CNAVTS, de la Caisse  nationale de l'assurance maladie des travailleurs salariés, des  organismes du régime général chargés de la gestion du risque accidents  du travail et
maladies professionnelles et de l'assurance vieillesse et  des organismes de la Mutualité sociale agricole ainsi que les agents des  services de I'Etat placés sous l'autorité respective des ministres  chargés de la sécurité sociale, de l'agriculture, du budget et de la  fonction publique, pour réaliser des statistiques anonymes sur la base  des données du compte excepté le NIR (ou NIA), les nom, prénoms, les  adresses postale et électronique, les relevés d'identité bancaire ; - les agents de la Caisse des dépôts et consignations,  individuellement désignés et dûment habilités, pour assurer la gestion  du compte personnel de formation, s'agissant du NIR (ou NIA) ainsi que  des noms et prénoms du salarié.
La commission prend acte que, s'agissant des statistiques réalisées  par les services ministériels, le NIR n'est communiqué qu'à la direction  de l'animation de la recherche, des études et des statistiques (DARES),  habilitée à traiter du NIR dans le cadre de ses études statistiques,  pour réaliser des appariements. La commission considère que ces destinataires présentent un intérêt  légitime à accéder aux données du présent traitement, sous réserve que  les données effectivement accessibles présentent un lien direct et  nécessaire avec leurs fonctions. Sur l'information des personnes et sur les droits d'accès, de rectification et d'opposition des personnes : L'information des personnes, telle que prévue à l'article 32 de la  loi du 6 janvier 1978 modifiée, est délivrée par l'employeur puis par  l'organisme compétent du réseau de la CNAVTS ou par la caisse compétente  du réseau de la MSA s'agissant des salariés agricoles. La commission est informée que le choix du support de l'information  délivrée par l'employeur est libre. Quant à l'information délivrée par  l'organisme du régime général ou de la MSA, elle est réalisée par  courrier, lors de l'ouverture du compte. La commission considère que ces modalités d'information des personnes sont satisfaisantes. Les droits d'accès et de rectification, prévus par les articles 39  et 40 de la loi du 6 janvier 1978 modifiée, s'exercent auprès de la  CNAVTS par voie électronique, via l'espace personnel, ou par voie  postale à une
adresse dédiée (Compte prévention pénibilité TSA 40236  35030 Rennes Cedex 9). La commission note enfin que le projet de décret, en application des  dispositions du dernier alinéa de l'article 38 de la loi du 6 janvier  1978 modifiée, écarte l'application du droit d'opposition. Sur la sécurité des données et la traçabilité des actions : La commission observe que le projet  Compte personnel de prévention  de la pénibilité  est destiné à permettre l'accès à travers un  téléservice à des données à caractère personnel concernant l'ensemble  des travailleurs salariés affiliés au régime général ou à la MSA, et  l'ensemble des sociétés françaises. Elle appelle ainsi à ce que ce  projet puisse bénéficier d'une homologation référentiel général de  sécurité (RGS) de l'ANSSI et de la réalisation d'une étude d'impact sur  la vie privée (PIA) concernant la protection de ces données. Il ressort des éléments transmis que la protection physique des  locaux de la CNAVTS (direction du système informatique national des  données sociales, ou DSINDS, à Tours) présente des garanties en termes  de sécurité qui apparaissent conformes à l'état de l'art. La commission prend bonne note de l'utilisation du standard  INTEROPS, dispositif sur lequel elle a été amenée à se prononcer, et de  la plate-forme Sterling pour l'échange de fichiers. Elle rappelle qu'une  convention entre l'utilisateur de données et l'organisme fournisseur  est un préalable indispensable à l'ouverture d'échanges en mode  Interops.
Elle rappelle en outre que l'échange de fichiers doit se  réaliser dans des conditions de sécurité adaptées à la sensibilité des  données échangées. La commission appelle à une gestion rigoureuse des modalités  d'authentification sur les plates-formes de service. Elle rappelle  qu'une politique satisfaisante de mot de passe implique que ceux-ci  soient composés de huit caractères minimum, comprenant au moins trois  des quatre types de caractères suivants : majuscules, minuscules,  chiffres et caractères spéciaux. Ils doivent en outre être définis ou  modifiés dès la première connexion, par l'utilisateur, puis  régulièrement renouvelés et ne doivent pas être stockés en clair. Elle  considère que la mise en place d'une authentification partagée ne pourra  se réaliser que si les conditions d'authentification sur les  plates-formes précitées et les protocoles d'échanges pour des  informations liées à la sécurité, et notamment pour la mise en œuvre de  systèmes d'authentification unique, se révèlent suffisantes et conformes  à l'état de l'art. La commission considère également que des mesures doivent être  prises pour auditer l'exploitation des données statistiques, afin  notamment de limiter les risques de ré-identification. Enfin, la commission rappelle que l'obligation de garantir la  sécurité et la confidentialité des données nécessite la mise à jour des  mesures de sécurité au regard de la réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés, Saisie par le ministre des affaires sociales et de la santé d'une  demande d'avis sur un projet de décret portant sur la création d'un  traitement automatisé de données à caractère personnel ayant pour  finalité une étude du risque de cancer radio-induit après exposition  dans l'enfance, dénommée  Coccinelle  ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-1-1, et 53 et suivants ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu l'arrêté du 19 juillet 2013 relatif à la mise en œuvre du Système  national d'information inter-régimes de l'assurance maladie ; Vu la décision DR 2011-489 de la Commission nationale de  l'informatique et des libertés relative à une étude portant sur  l'évaluation du risque de cancer à long terme dans une cohorte d'enfants  exposés aux rayonnements ionisants dans le cadre d'une procédure de  cathétérisme
cardiaque, intitulée  Coccinelle  ; Vu l'avis favorable du Comité consultatif pour le traitement de  l'information en matière de recherche dans le domaine de la santé du 13  janvier 2011 ; Après avoir entendu M. Alexandre LINDEN, commissaire, en son  rapport, et Mme Catherine POZZO Dl BORGO, commissaire adjoint du  Gouvernement, en ses observations,
Emet l'avis suivant : La commission a été saisie le 20 octobre 2015 pour avis par le  ministère des affaires sociales et de la santé d'un projet de décret en  Conseil d'Etat (ci-après  le projet ) relatif à la mise en œuvre par  le laboratoire d'épidémiologie de l'Institut de radioprotection et de  sûreté nucléaire (IRSN), d'une étude portant sur le risque de cancer  radio-induit après dans l'enfance dans le cadre de l'étude  Coccinelle   (ci-après  l'étude ). Cette étude, dont le premier volet a été autorisé par la commission  (DR 2011-489 du 12 décembre 2011), concerne une cohorte de 8 000  enfants. Elle vise à évaluer le risque de cancer à long terme après  exposition aux rayonnements ionisants dans l'enfance et à quantifier la  relation dose-réponse entre l'irradiation médicale reçue au cours d'une  procédure de cathétérisme cardiaque et la survenue d'un cancer pendant  l'enfance ou l'âge adulte. L'objectif de cette étude est principalement  d'estimer l'incidence des cancers au sein de la cohorte et de la  comparer à l'incidence nationale des cancers. A ce titre, un suivi sur  le long terme, à l'âge adulte des participants, est justifié par la  latence du développement des pathologies radio-induites. Le second volet consiste en un appariement entre les données de  l'étude et les données du Système national d'information inter-régimes  de l'assurance maladie (SNIIRAM). L'appariement envisagé requérant, en l'espèce, l'utilisation du  numéro d'inscription au Répertoire
national d'identification des  personnes physiques (NIR), la commission a été saisie d'une demande  d'avis sur le fondement de l'article 27-1 (1°) de la loi du 6 janvier  1978 modifiée (ci-après  loi informatique et libertés ). Sur la finalité du traitement : L'article 1er du projet de décret prévoit d'autoriser l'IRSN à  mettre en œuvre un traitement de données à caractère personnel  nécessaire à la réalisation l'étude sur le risque de cancer radio-induit  après exposition aux procédures de cardiologie interventionnelle dans  l'enfance dont la finalité est  de caractériser la population  pédiatrique ayant bénéficié d'une procédure de cardiologie  interventionnelle ainsi que les doses reçues dans les centres  participant à l'étude et d'estimer le risque de pathologie radio-induite  après exposition aux procédures de cardiologie interventionnelle dans  l'enfance . Le projet a pour objet de permettre un appariement des données du  SNIIRAM avec des données issues de la base de données de l'étude mise en  œuvre par l'IRSN. Cet appariement a pour objet de disposer d'informations à la fois  sur le bénéfice d'une procédure de cardiologie interventionnelle des  enfants de la cohorte et des informations cliniques sur l'incidence des  pathologies potentiellement radio-induites, comme certains types de  cancers. La commission estime que la finalité est déterminée, explicite et  légitime, conformément à l'article 6 (2°) de la loi informatique et  libertés . Sur la nature des données
traitées : L'article 2 du projet de décret liste les données traitées relatives aux personnes faisant l'objet de l'étude. Sur les données dont le traitement est déjà autorisé par la commission : Il s'agit :
- des données relatives aux personnes faisant l'objet de l'étude  extraites des traitements de données des études de cohortes, des  registres de cancer pédiatrique ainsi que des systèmes d'informations  médicales des établissements de santé et des dossiers médicaux des  services hospitaliers, comprenant, dans les conditions prévues par l' article 57 de la loi du 6 janvier 1978 susvisée, leurs nom de famille, nom d'usage, prénoms, date et lieu de naissance et sexe ; - des données de santé relatives aux personnes faisant l'objet de  l'étude, collectées dans les conditions prévues par les articles  56 et  57  de la loi du 6 janvier 1978 susvisée, et pour les personnes décédées  dans les conditions prévues par le décret du 16 janvier 1998 susvisé :  les données cliniques issues des programmes de médicalisation des  systèmes d'information (PMSI) des établissements de santé et des  dossiers médicaux des services hospitaliers, les données portant sur les  procédures de cardiologie interventionnelle réalisées pour les  personnes participant à l'étude (date de réalisation, type de procédure,  indication, paramètres dosimétriques associés), le statut vital et, le  cas échéant, les causes de décès.
Sur les données dont le traitement fait l'objet d'un projet d'arrêté  soumis à l'avis de la commission concomitamment à la demande d'avis sur  le présent projet de décret en Conseil d'Etat : Il s'agit des données des personnes participant à l'étude extraites  du répertoire national inter-régimes des bénéficiaires de l'assurance  maladie dans les conditions mentionnées au  V de l'article R. 161-37 du code de la sécurité sociale, et, pour les personnes décédées, dans les conditions prévues par le  décret n° 98-37 du 16 janvier 1998, comprenant leur lieu de naissance, le cas échéant, l'indication du décès. L'article 2 du projet de décret liste également les données qui  seront extraites des bases du SNIIRAM, depuis l'antériorité maximale que  permettent ces bases. Il s'agit :