AgentPublic/cnil huggingface dataset:
L’enquêteur habilité à procéder à une interception judiciaire par une ordonnance judiciaire, créera un dossier en se connectant par intranet au CGIJ afin d’obtenir un numéro d’identifiant unique, de mise sous interception. L’accès par intranet au CGIJ sera contrôlé au moyen d’un serveur d’accès d’authentification et d’autorisation mis en œuvre par les administrations compétentes (justice, intérieur, défense, économie et finances).
La réquisition de mise sous interception judiciaire sera adressée directement par l’enquêteur à l’opérateur titulaire de la ligne à surveiller. L’opérateur activera l’interception pour la durée fixée par le magistrat mandant dans son ordonnance puis, renverra d’une part, directement vers l’enquêteur les voix des communications écoutées et d’autre part, vers le CGIJ le contenu des SMS et MMS et, les informations techniques de trafic décrivant ces communications, sous forme chiffrée.
Le CGIJ convertira le contenu des SMS, des MMS et des données techniques de trafic qui y sont associées, reçus codés de l’opérateur titulaire de la ligne à surveiller, puis les transfèrera vers l’enquêteur par un réseau sécurisé, directement sur leurs postes informatiques (postes dédiés) ou via des équipements d’écoute.
La Commission observe que le CGIJ ne traitera, dans ces conditions, que des données codées relatives aux personnes dont la ligne est surveillée, sa fonction principale consistant à acheminer les données interceptées par l’opérateur vers l’enquêteur.
Les catégories de données ainsi traitées par le CGIJ seront, s’agissant des personnes dont la ligne est surveillée, les données relatives au trafic définies par la normalisation ETSI, notamment, pour chaque communication, le code de l’opérateur, les numéros de téléphone appelé et appelant, la date, l’heure et la durée de l’appel, les adresses de messagerie des appelés et des appelants, le code des cellules activées, les contenus des messages courts (SMS et MMS) émis et reçus.
S’agissant des personnes ayant accédé au CGIJ, les données traitées seront le numéro d’identification unique attribué à la demande d’interception, les adresses électroniques des destinataires, les numéros de téléphone des équipements de réception des destinataires.
La Commission prend acte que les seuls destinataires des données techniques relatives au trafic et des contenus des messages courts (SMS et MMS) seront les magistrats qui prescrivent les mesures d’interception dans le cadre des procédures judiciaires, dont ils sont saisis, les officiers de police judiciaire et les agents de police judiciaire, placés sous leur responsabilité, ainsi que les agents de la douane judiciaire commis ou requis par un magistrat ou affectés dans un service dont le chef a été commis ou requis par un magistrat aux fins d’une interception judiciaire de correspondances émises par la voie des communications électroniques.
Les données personnelles relatives aux personnes faisant l’objet d’une interception judiciaire seront conservées par le CGIJ le temps nécessaire à leur transmission effective aux destinataires, sans excéder le délai de trente jours à compter de leur envoi, délai à l’issue duquel elles seront automatiquement effacées.
La Commission prend acte de ce que ce délai de trente jours a pour objet de permettre aux enquêteurs de procéder, le cas échéant, à une retranscription lisible du texte des messages courts, voire à sa traduction s’il n’est pas rédigé en langue française.
Les données personnelles relatives aux utilisateurs du CGIJ seront conservées par le CGIG pendant une durée de trois ans à compter de leur réception, délai à l’issue duquel elles seront automatiquement effacées.
Compte tenu de la finalité du traitement, les droits d’information et d’opposition, prévus respectivement par les articles 32 et 38 de la loi du 6 janvier 1978 modifiée, ne s’appliquent pas aux personnes faisant l’objet d’une interception judiciaire.
En outre, les droits d’accès et de rectification des personnes faisant l’objet d’une interception judiciaire, prévus respectivement par les article 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent de manière indirecte selon les modalités fixées par les articles 41 et 42 de la loi.
Les informations traitées par le CGIJ pourront faire l’objet d’un envoi vers un pays hors de la communauté européenne dans le cadre d’une procédure judiciaire régulière. Ces échanges ne pourront avoir lieu qu’en vertu des articles 694 et suivants du code de procédure pénale relatifs aux règles établies en matière d’entraide judiciaire et donc uniquement avec les Etats présentant un niveau de protection suffisant.
Le président
Alex TURK
La Commission nationale de l'informatique et des libertés,
Saisie, le 18 janvier 2007 par le ministre de la santé et des solidarités d’une part d’un projet d’arrêté relatif aux spécifications physiques et logiques de la carte d’assurance maladie et aux données contenues dans cette carte et d’autre part d’un projet d’arrêté relatif aux conditions d’émission et de gestion des cartes d’assurance maladie ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le code de la sécurité sociale, et notamment l’article L. 161-31 ;
Vu le décret n°2007-199 du 14 février 2007 relatif à la carte d’assurance maladie et modifiant le code de la sécurité sociale ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n°2004-801 du 6 août 2004 ;
Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
Le ministre de la santé et des solidarités a saisi pour avis la Commission nationale de l’informatique et des libertés de deux projets d’arrêtés relatifs d’une part aux spécifications physiques et logiques de la carte d’assurance maladie et aux données contenues dans cette carte et d’autre part aux conditions d’émission et de gestion des cartes d’assurance maladie. Ces projets d’arrêtés sont accompagnés d’un dossier technique précisant les adaptations du système SESAM Vitale à ce nouveau cadre réglementaire.
L’adaptation du système SESAM Vitale permettra la diffusion d’une nouvelle carte Vitale d’une part contenant des données nouvelles dont la photographie du porteur de la carte ainsi que des données liées à l’utilisation facultative par ce dernier d’une zone de données personnelles, d’autre part comportant une obligation de mise à jour régulière, des données inscrites.
L’objectif est de remplacer les actuelles cartes vitale par la nouvelle génération de carte en 4 ans.
Sur le projet d’arrêté relatif aux spécifications physiques et logiques de la carte d’assurance maladie et aux données contenues dans cette carte
Ce projet d’arrêté détaille le contenu de la carte Vitale. Il prévoit notamment l’insertion de l’adresse, de la photographie tant sur le visuel de la carte que dans le composant électronique de la carte, des données relatives au choix du médecin traitant ainsi que le cas échéant, si le porteur le décide, les coordonnées d’une personne à prévenir et la mention qu’il a pris connaissance des dispositions légales sur le don d’organe.
Conformément à l’article R.161-33-1 du code de la sécurité sociale issu du décret du 14 février 2007 relatif à la carte d’assurance maladie qui dispose qu’un arrêté du ministre détermine les spécifications physiques et logiques de la carte, il conviendrait de compléter comme suit l’article 1er :
« La carte d’assurance maladie mentionnée à l’article R. 161-33-1 du code de la sécurité sociale est une carte à microprocesseur, conforme à la norme ISO 7816, de technologie réinscriptible et équipé d’un co-processeur cryptographique. »
L’écriture sur la carte des données relatives à « la personne à prévenir en cas de nécessité » et la mention selon laquelle le « titulaire a eu connaissance des dispositions de la réglementation sur le don d’organe » nécessite l’authentification du titulaire de la carte ou du médecin.
Dans la mesure où la carte ne comporte aucun dispositif permettant à son titulaire de s’authentifier, la Commission constate que l’écriture de ces données dans le composant électronique de la carte ne pourra être réalisée par l’intéressé qu’en présence de son médecin faisant usage de sa carte de professionnel de santé.
La rédaction retenue au 8° de l’article 8 du projet d’arrêté aux termes de laquelle la carte comporte « éventuellement, la mention indiquant que le titulaire a eu connaissance des dispositions de la réglementation sur le don d’organe » est conforme à la rédaction proposée par la Commission.
La Commission prend acte que le projet d’article 3, 2° e) prévoit que la photographie devra comporter des caractéristiques techniques empêchant une utilisation à des fins de contrôle biométrique et qu’un dispositif de protection empêchera toute copie.
Sur le projet d’arrêté relatif aux conditions d’émission et de gestion des cartes d’assurance maladie
Le projet d’arrêté détaille les modalités de délivrance des cartes et en particulier les moyens mis en œuvre pour recueillir la photographie.
Le titulaire bénéficiera par ailleurs d’un droit d’accès aux données figurant dans la carte à partir des bornes de lecture des cartes ou auprès des caisses d’assurance maladie. L’assuré pourra demander une copie papier des données contenues dans la carte, une fiche « reflet » lui sera alors remise. Cette fiche « reflet » distincte de l’attestation de droits, a uniquement pour finalité de permettre au bénéficiaire de connaître l’ensemble du contenu de sa carte. Son usage sera strictement personnel. La Commission estime en conséquence que cette distinction devrait figurer à la suite du dernier alinéa de l’article 7 du projet d’arrêté selon la rédaction suivante :
« Cette fiche reflet dont l’usage est strictement personnel, est distincte de l’attestation de droits utilisée dans les rapports avec les tiers et dont le contenu peut être expurgé, à la demande du titulaire, des informations relatives à la suppression ou la limitation de la participation de l’assuré. ».
Le titulaire de la carte sera tenu de mettre à jour la carte Vitale après tout changement des données figurant sur ou dans la carte d’assurance maladie. Il disposera d’un délai d’un mois pour effectuer cette mise à jour, lorsqu’il aura été informé par l’organisme lui servant les prestations, de la prise en compte de son changement de situation. A défaut de mise à jour des données relatives aux droits aux prestations et aux accidents du travail ou aux maladies professionnelles, la carte sera temporairement inutilisable.
Même en l’absence de changement de situation, le titulaire de la carte devra mettre à jour sa carte selon une fréquence annuelle à compter de la date d’émission de celle-ci. A défaut, il ne pourra pas bénéficier de la dispense d’avance de frais.
Afin de faire apparaître de façon précise les diligences qui incombent au titulaire de la carte une nouvelle rédaction de l’article de l’article 8 est proposée en concertation avec les services du ministère :
« Le titulaire de la carte d’assurance maladie est tenu d’effectuer ou de faire effectuer sa mise à jour en cas de changement des données mentionnées à l’article R. 161-33-1. A cette fin, il utilise les dispositifs techniques mis à sa disposition ou se rend au guichet de sa caisse. 
Lorsqu’il a été informé par l’organisme lui servant les prestations, de la prise en compte de son changement de situation, il dispose d’un délai d’un mois pour effectuer cette mise à jour.
A défaut de mise à jour des informations mentionnées aux b et e du 2° de l’article R.161-33-1, la carte ne peut plus être, temporairement, utilisée. 
Tout titulaire d’une carte d’assurance maladie est tenu de mettre à jour sa carte selon une fréquence annuelle à compter de la date d’émission de celle-ci. A défaut, il ne peut plus, temporairement, bénéficier de la dispense d’avance des frais pour les prestation en nature de l’assurance maladie. Toutefois, le titulaire qui, durant l’une des période de référence prévue pour cette mise à jour, a déjà effectué une mise à jour en application du précédent alinéa, est dispensé d’effectuer la mise à jour annuelle au titre de la période considérée. »
Sur les sécurités du dispositif SESAM Vitale
Lors de la télétransmission des feuilles de soins électroniques, certaines des données transmises bénéficient en principe d’un chiffrement fort. Ainsi, le code des médicaments (code CIP), les actes de biologie, les code LLP (Liste des produits et prestations) la classification commune des actes médicaux (CCAM), le code justificatif d'exonération du ticket modérateur ainsi que le numéro du prescripteur sont normalement chiffrés par un algorithme TDES. Par ailleurs, le cahier des charges SESAM Vitale recommande un chiffrement du transport des données (chiffrement SMTP S/MIME).
Toutefois, le fonctionnement de l’algorithme TDES et du chiffrement du transport suppose l’installation sur le poste de travail du professionnel de santé, d’un logiciel SESAM Vitale 1.40 et la migration du lecteur de carte en version 1.40.
Dans le cas contraire, les données sensibles sont simplement brouillées et le chiffrement du transport n’est pas assuré.
La Commission rappelle, de nouveau, que le simple brouillage des données ne peut être admis et elle considère que l’intégration de la CCAM dans les feuilles de soins électroniques, renforce encore la nécessité d’un chiffrement fort des données de santé.
Par ailleurs, si le chiffrement de transport n’est pas assuré, la Commission estime que la nouvelle version de SESAM Vitale doit prévoir un chiffrement du numéro de sécurité sociale.
La fonctionnalité d’exportation mise en œuvre dans le « logiciel VisuVitale et les API de lecture » permet de copier les données figurant dans le composant électronique de la carte vitale 2 comme le NIR, le nom, la date de naissance, l’adresse… « pour être intégrées dans un système de gestion informatisée d’accueil des assurés ». La Commission estime indispensable qu’il ne soit pas techniquement possible de capter les données contenues dans la carte en dehors d’un logiciel de prise en charge des soins.
Le président
Alex TURK
(Demande d’avis n° 761 414 version 1)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’emploi, de la cohésion sociale et du logement d’un projet de décret en Conseil d’Etat portant création de deux traitements automatisés de données à caractère personnel pour l’expérimentation et l’exploitation de la constitution des listes électorales prud’homales en vue du scrutin du 3 décembre 2008 ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 27 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le code du travail, et notamment les dispositions du titre Ier du livre V ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant
La Commission a été saisie par le ministère de l’emploi, de la cohésion sociale et du logement d’un projet de décret en Conseil d’Etat portant création de deux traitements automatisés de données à caractère personnel pour l’expérimentation et l’exploitation de la constitution des listes électorales prud’homales en vue du scrutin du 3 décembre 2008.
Le traitement a pour objet d’assurer la constitution des listes électorales pour les prochaines élections prud’homales générales de décembre 2008. Un traitement préalable permettant l’expérimentation du système de constitution des listes auprès de certaines mairies sur la base du volontariat est mis en oeuvre sur la période du 15 février 2007 au 15 octobre 2007. 
Dans la mesure où les traitements envisagés prévoient la collecte et la transmission du NIR de demandeurs d’emplois et d’employeurs de personnels de maison, la Commission considère que ce traitement relève de l’article 27 de la loi du 6 janvier 1978 modifiée.
Sur l’expérimentation
La Commission demande au ministère de lui communiquer le bilan de l’expérimentation.
Sur les finalités du traitement
Aux termes des articles 1 et 2 du projet de décret, les finalités des traitements seront, pour le premier, de permettre l’expérimentation du système de constitution automatisée des listes électorales pour le scrutin prud’homal général, auprès des mairies listées en annexe au projet de décret en Conseil d’Etat et, pour le second, de permettre la constitution automatisée des listes électorales pour le scrutin prud’homal général du 3 décembre 2008.
Les objectifs recherchés s’inscrivent dans la continuité de la démarche engagée en 2002. Ils doivent permettre de :
tendre vers l'exhaustivité des listes électorales,
poursuivre la démarche de simplification des tâches des participants, notamment celles des employeurs et des mairies, déjà engagée à l'occasion du précédent scrutin,
fiabiliser les opérations de constitution des listes quant aux délais mis en œuvre, aux données communiquées, aux supports déclaratifs utilisés,
détecter et éliminer les inscriptions multiples
Comme en 2002, le système d'information offrira aux mairies la possibilité de procéder à la consultation en ligne des données les concernant et de les corriger par l'intermédiaire d'un site Internet.
La Commission considère que ces finalités de meilleure gestion sont légitimes.
Sur les données enregistrées
L’article 3 du projet de décret vise à permettre la collecte et le traitement de certaines données nouvelles par rapport au traitement précédemment mis en œuvre à l’occasion du scrutin prud’homal de 2002.
Il s’agit des données suivantes :
pour les demandeurs d’emploi : nom, prénoms, numéro d'inscription au répertoire national d'identification des personnes physiques, date de naissance, département et commune de naissance, adresse, code APE du dernier employeur, section prud’homale du dernier emploi,
pour les employeurs de personnels de maison : nom, prénoms, adresse, numéro d'inscription au répertoire national d'identification des personnes physiques, date de naissance, département et commune de naissance.
S’agissant en particulier des conditions de collecte et de transmission du NIR, la Commission relève que le dernier alinéa de l’article 4 du projet de décret précise que « Le numéro d’inscription au R.N.I.P.P est communiqué exclusivement au prestataire informatique du ministère pour la détection des multi-inscriptions ».
La Commission considère, dans la mesure où le NIR ne sera, comme à l’occasion des précédentes élections, utilisé qu’aux seules fins de détection des inscriptions multiples, et où cette information ne figure pas sur les listes transmises aux mairies et aux préfectures que la collecte et la transmission du NIR peuvent être autorisées dans le cadre des traitements présentés.
En outre, l’application de règles particulières de détermination de l’électorat conduisent au traitement d’informations nouvelles relatives à certaines catégories de personnes (telles que les employés de maison ou les gens de maison dans l’agriculture).
Ces données concernent le type d’emploi sous la forme « emplois familiaux, assistance maternelle, service à particulier, AFEAMA, AGED » (aux fins de prise en compte de règles particulières de détermination de la section d’inscription) et le nombre d’heures travaillées (aux fins de détermination du lieu d’inscription en cas d’employeurs multiples, l’employeur principal étant déterminé selon le critère du plus grand nombre d’heures travaillées).
Enfin, des informations relatives au collège et à la section prud’homale déclarées seront également traitées s’agissant tant des salariés que des employeurs.
La Commission considère, compte tenu des finalités poursuivies, que le traitement de ces données est pertinent.
Sur les destinataires 
Les préfectures et les mairies sont destinataires de l'ensemble des informations, à l'exclusion du numéro d'inscription au R.N.I.P.P.
Les sections d'inspection du travail, de l'emploi et de la formation professionnelle, les sections d'inspection du travail, de l'emploi et de la politique sociale agricole (I.T.E.P.S.A.) et les sections d'inspection du travail des transports sont destinataires des informations concernant l'identification des employeurs.
Sur la durée de conservation des données 
A l'issue du scrutin, tous les supports de saisie seront détruits ainsi que les listes électorales et documents intermédiaires détenus par les mairies.
En revanche, les fichiers nationaux issus du traitement de constitution des listes électorales seront versés aux archives nationales après l’expiration des délais de recours contentieux ouverts à l’issue des élections, et au plus tard le 3 avril 2009.
Le ministère conservera pendant une année après le scrutin une copie du fichier électoral, en cas d'élections complémentaires et afin de produire des statistiques relatives à l’électorat. Cette copie sera détruite au plus tard le 3 décembre 2009.
Le ministère conservera également une copie du fichier des établissements sans que ce fichier comporte d'information nominative.
Le ministère conservera en outre un extrait de la liste électorale, avec dénaturation des identités des électeurs (NIR tronqué aux 5 premiers caractères, nom tronqué aux 2 premiers caractères, et prénom tronqué aux 3 premiers caractères) afin de l'utiliser comme fichier test dans la perspective de la préparation du scrutin de 2013.
Ces deux fichiers seront conservés jusqu'en décembre 2012, soit un an avant la date des prochaines élections, date à laquelle ils seront détruits.
Les fichiers constitutifs de la liste électorale dans leur état définitif seront versés aux Archives nationales à l'issue des scrutins de 2008.
Le ministère dispose d’un délai d'utilité administrative de 4 ans à partir de la date de versement des fichiers aux Archives nationales (soit au plus tard du 3 avril 2009 au 3 avril 2013).
La Commission prend acte que le ministère communiquera le descriptif des données versées aux Archives nationales et associera la Commission aux opérations de transferts des données aux Archives nationales.
Sur les sécurités
La Commission considère que les mesures de sécurité décrites entourant l’hébergement et les échanges de données avec les prestataires retenus (EXPERIAN et DATA ONE) sont satisfaisantes.
S’agissant des modalités de réception par le ministère des données adressées par les différents partenaires, celle-ci s’effectuera, s’agissant des données provenant de la CNAVTS, via une liaison sécurisée « CFT ».
En revanche, la transmission des données en provenance des autres partenaires (UNEDIC, Régimes spéciaux) s’effectuera par envoi postal d’un CD-ROM non chiffré.
Dès lors que les fichiers ainsi transmis sont susceptibles de comporter le NIR des personnes concernées, la Commission demande à ce que les CD-ROM adressés au ministère par les partenaires du dispositif fassent l’objet d’un procédé de chiffrement propre à garantir la confidentialité des données.
Sur l’information des personnes et les modalités des droits d’accès et de rectification