AgentPublic/cnil huggingface dataset:
(autorisation n°1462015)
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ; 
Vu la loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne, notamment ses articles 17, 18 et 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL ;
Vu le décret n°2010-518 du 19 mai 2010 relatif à la mise à disposition de l’offre de jeux et de paris par les opérateurs agréés de jeux ou de paris en ligne ;
Sur la proposition de M. Dominique RICHARD, commissaire, et après avoir entendu  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société PKR FRANCE SAS d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
La société PKR FRANCE SAS a été agréée par l’Autorité de régulation des jeux en ligne (ARJEL) pour exploiter le site www.pkr.fr, dédié aux jeux de cercles en ligne. 
La loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne impose aux opérateurs de jeux en ligne, agréés par l’ARJEL, de mettre en place des mesures visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme. Elle les assujettit aux obligations prévues par les dispositions des sections 2 à 7 du chapitre 1er du titre VI du livre V du Code monétaire et financier (CMF).
Les traitements ainsi mis en œuvre par les opérateurs de jeux en ligne agréés peuvent conduire ces derniers à souhaiter rompre toute relation contractuelle avec certains joueurs et donc à l’exclusion des personnes du bénéfice d’un droit ou d’un contrat, nonobstant l’absence de toute disposition légale le prévoyant.
La Commission considère, dès lors, qu’il y a lieu de faire application des dispositions de l’article 25-I-4° pour les traitements mis en place par les opérateurs de jeux en ligne agréés ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le terrorisme, et qui conduisent à la clôture du compte du joueur. 
Les traitements mis en place par la société PKR FRANCE SAS, objets de la présente autorisation, seront les suivants :
Traitement automatisé de données ayant pour finalité la vérification de l’identité du joueur à l’ouverture des comptes joueur
Conformément à l’article L. 561-5 du CMF, la société identifiera le joueur avant d’entrer en relation d’affaires et donc de lui créer un compte joueur sur son site. 
Pour ce faire, aux termes de l’article 2-1° du décret n°2010-518 du 19 mai 2010 la société PKR FRANCE SAS demandera à toute personne qui sollicite l’ouverture d’un compte joueur de lui communiquer ses nom, prénom, date et lieu de naissance, adresse postale et références d’un compte de paiement. La fourniture de l’ensemble de ces informations entraînera la création d’un compte provisoire. En revanche, en l’absence de ces informations, la société refusera l’ouverture du compte joueur. 
En outre et conformément à l’article 4 de ce décret, la société demandera à toute personne sollicitant l’ouverture d’un compte joueur de lui fournir, dans le délai maximum d’un mois à compter de la demande d’ouverture dudit compte :
La société désactivera le compte du joueur qui ne lui a pas transmis les pièces justificatives dans le délai d’un mois à compter de l’ouverture de son compte provisoire. Elle clôturera le compte si le joueur ne lui a pas adressé ces pièces dans un délai de deux mois à compter de la demande d’ouverture de compte ou n’a pas saisi le code secret dans un délai de six semaines à compter de l’envoi du code. 
La désactivation d’un compte fera obstacle à ce que le joueur engage ses mises ainsi que n’ordonne le reversement de ses avoirs sur son compte de paiement.
Traitement automatisé de données ayant pour finalité la surveillance des comptes joueur 
En vertu de l’article L. 561-6 du CMF, la société exercera, pendant toute la durée de la relation d’affaire, une vigilance constante et pratiquera un examen attentif des opérations de jeux effectuées sur son site en veillant à ce qu’elles soient cohérentes avec la connaissance actualisée que la société a de ses joueurs. 
En pratique, la société PKR FRANCE SAS mettra en place un dispositif d’alerte, qui permettra, le cas échéant, de diligenter une enquête visant à contrôler l’activité d’un joueur ou d’une partie lors de la survenance d’un des événements suivants : 
Correspondance de données entre plusieurs comptes dont l’un a connu des incidents de type annulation des transactions financières (chargeback) ;
Différence géographique entre l’IP d’identification et l’IP d’enregistrement ou le numéro BIN du fournisseur de la carte de dépôt, ou différence géographique entre le pays où le compte est détenu et le pays de résidence enregistré sur le compte joueur ;
Augmentation de 100% de la valeur des dépôts ;
Echecs des tentatives de dépôts ;
Vérification de rapidité (tentatives de dépôts répétés sur une heure) ;
20 dépôts ou plus refusés par la banque émettrice ;
Différence de nom entre le dépôt et les informations d’enregistrement du compte ;
Dépôts provenant de pays à risque identifiés par Tracfin ;
Ratio gain/perte supérieur à 10 ;
Demande de retrait d’un montant supérieur à 1000 euros ;
Retraits successifs sur un compte dont la création remonte à 7 jours ou moins ;
Plaintes des joueurs ;
Echecs répétés de tentatives de dépôts et annulation de dépôts suite à une plainte du détenteur de la carte de crédit concernée auprès de sa banque ;
2 dépôts effectués avant toute participation à un jeu en argent réel ;
Premier dépôt supérieur à 500 € sans utilisation d’un bonus et/ou sans création d’un avatar (personnage virtuel indispensable pour jouer sur le site PKR).
En cas de soupçon de fraude, le compte joueur concerné pourra être suspendu et le joueur en sera informé. La société procèdera alors à une série de vérifications manuelles et pourra demander au joueur de lui fournir un justificatif de domicile. Elle pourra également demander au joueur d’imprimer l’historique des dépôts tel qu’il apparait sur son compte en ligne, que ce dernier devra dater, signer et renvoyer à l’opérateur. 
La Commission prend acte de ce qu’aucun document complémentaire ne sera demandé au joueur.
A l’issue de l’enquête, si aucun acte frauduleux n’est finalement constaté, le joueur en sera informé et pourra à nouveau utiliser son compte. En revanche, si l’enquête permet de confirmer l’acte frauduleux, la société pourra clôturer le compte joueur, sous réserve d’en informer le joueur. 
En cas de soupçon de blanchiment de capitaux, la société fera une déclaration de soupçon à TRACFIN et s’abstiendra d’effectuer toute opération dont elle soupçonne qu’elle est liée au blanchiment de capitaux ou au financement du terrorisme jusqu’à ce qu’elle ait fait une telle déclaration, conformément aux articles L. 561-15 et suivant du CMF. Une fois la déclaration effectuée, et sauf à ce que TRACFIN ait notifié à l’opérateur son opposition dans un délai d’un jour ouvrable à compter de sa réception de la déclaration de soupçon, l’opérateur pourra procéder à la réalisation de l’opération.
Les finalités des présents traitements apparaissent déterminées, explicites et légitimes.
Les catégories de données à caractère personnel enregistrées seront relatives :
aux données d’identification du joueur ;
aux informations d’ordre économique et financier ; 
aux données de connexion ;
aux opérations de jeu.
Ces données apparaissent pertinentes au regard de la finalité poursuivie. 
La durée de conservation des informations sera de 5 ans à compter de la clôture du compte joueur, sauf si aucune opération de jeu ou de pari n'a été réalisée avant la clôture du compte. Dans ce dernier cas, les données seront supprimées dès la clôture du compte. 
Les destinataires des informations seront, dans le cadre de leurs attributions respectives, l’ARJEL, TRACFIN et la société PKR TECHNOLOGIES LIMITED située à Londres. 
L’information des personnes concernées s’effectuera conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004 par une mention dans la charte de confidentialité du site Internet. 
Le joueur sera également informé dans les conditions générales du site de la possibilité que son compte soit suspendu et/ou clôturé dans le cadre de la lutte contre la fraude.
En outre, en cas de suspension du compte joueur, un courrier électronique sera systématiquement envoyé au joueur pour lui indiquer que son compte est suspendu et qu’une enquête est en cours en raison d’une suspicion de fraude. De même, à l’issue de l’enquête, le joueur sera informé par courrier électronique qu’il peut à nouveau utiliser son compte ou que ce dernier est clôturé.
Les droits d’accès et de rectification s’exerceront auprès du cabinet d’avocats Ichay & Mullenex, 5, rue de Monceau – 75008 PARIS
Cependant, le droit d’accès aux traitements mis en œuvre aux seules fins de lutte contre le blanchiment de capitaux et le financement du terrorisme s’exercera de manière indirecte, auprès de la CNIL, conformément à l’article L 561-45 du Code monétaire et financier. Ainsi, ne pourront être communiquées au joueur les données susceptibles :
de porter à sa connaissance l’existence d’une déclaration de soupçon ou des suites qui lui ont été données ;
de l’informer de la mise en œuvre d’opérations liées à la lutte contre le blanchiment de capitaux ou au financement du terrorisme.
Dans ces conditions, la Commission autorise la société PKR FRANCE SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
La Présidente 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment les articles L. 6321-1, R.1111-9 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et notamment ses articles 8-IV et 25-I,1°; 
Vu la loi n° 2007-127 du 30 janvier 2007 ratifiant l'ordonnance n° 2005-1040 du 26 août 2005 relative à l'organisation de certaines professions de santé et à la répression de l'usurpation de titres et de l'exercice illégal de ces professions et notamment son article 25 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés;
Sur proposition de M. Jean MASSOT, commissaire, et après avoir entendu Madame Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions figurant dans le dossier et les annexes, l’association ELENA à mettre en œuvre un système de partage de données de santé nécessaires à la prise en charge des enfants présentant un risque majoré de développer un handicap dans le cadre d’un réseau de périnatalité (Loire Nord-Ardèche), dont les caractéristiques sont définies dans le tableau ci-dessous et jugées conformes aux dispositions législatives et réglementaires applicables.
Responsable du traitement
Association Elena (42)
Finalités
- Dépister de façon précoce les troubles du développement chez les nouveau-nés présentant un risque majoré de développer un handicap du fait des conditions de leur naissance (enfants nés prématurément…)- Améliorer la prise en charge et le suivi des enfants dépistés à risque en permettant le partage entre professionnels de santé, des informations nécessaires à une prise en charge précoce, coordonnée, et adaptée aux besoins des enfants qu’ils suivent.Pour ce faire, les fiches d’évaluation de l’état de l’enfant établies à la sortie de la maternité puis au cours de consultations organisées jusqu’à l’âge de 7 ans sont mises à la disposition des professionnels chargés de son suivi.- Etablir des statistiques à partir de données préalablement anonymisées afin de produire des indicateurs d’activité.Ce traitement est mis en œuvre dans le cadre du plan périnatalité 2005-2007 et de la circulaire DHOS du 30 mars 2006 qui préconisent la mise en place de réseaux de suivi pour les enfants vulnérables sur l’ensemble du territoire.La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I,1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui, comme en l’espèce, poursuivent un intérêt public.
Données traitées
- Concernant les patients : données d’identification de l’enfant et de ses parents (nom, prénom, sexe, date et lieu de naissance, adresse); données de santé relatives aux antécédents familiaux, à la grossesse, à l’accouchement et à la période néonatale, aux antécédents familiaux, aux pathologies, compte-rendu des bilans de santé et propositions d’action.Les fiches d’évaluation sont établies selon un modèle standardisé.- Concernant les professionnels de santé : nom, prénom, coordonnées professionnelles et spécialité.
Destinataires
- Les professionnels de santé membres du réseau habilités par les parents pour les seuls patients qu’ils prennent en charge.- Le médecin traitant-Le médecin coordinateur du réseau et, sous sa responsabilité, la secrétaire médicale du réseau, chargée de saisir les données et de contrôler la qualité des données saisies.
Information et droit d’accès
- Information des parents par la remise d’un document et recueil de leur consentement par un formulaire - Exercice du droit d’accès auprès du médecin référent ou en s’adressant au médecin coordinateur du réseau.- Un dossier médical de suivi sous forme papier est également remis aux parents et sera rempli par les professionnels de santé au cours de chaque consultation.
Caractéristiques particulières du traitement
- Accès aux données par la plateforme d’échange entre professionnels de santé, PEPS-Réseaux du CHU de Grenoble ou sur le portail régional SIS Rhônes-Alpes (Système d’information de la région Rhône-Alpes) Le contrôle des accès aux dossiers des patients se fait par une carte de professionnel de santé ou un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS. - Les habilitations d’accès au système d’information sont définies en fonction des attributions des intervenants et des données concernées. - Les accès à l’application font l’objet d’une journalisation.- L’application met en œuvre des procédés de chiffrement du transport et des données.
Observations propres au traitement
- Durée de conservation des données : jusqu’au terme de la prise en charge du patient dans le cadre du réseau. A l’issue de cette période, les données seront archivées conformément à la réglementation en vigueur et pourront être conservées de façon anonymisée à des fins statistiques
La Présidente
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n°1147702-V9)
La Commission nationale de l'informatique et des libertés, 
Saisie par l’Institut de recherche et documentation en économie de la santé d’une demande d’autorisation pour la mise en œuvre de l’enquête sur la santé et la protection sociale 2012 ;
Vu la Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 51-711 du 7 juin 1951 relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié;
Vu l’arrêté du 1er décembre 2011 relatif au système national d'information inter-régimes de l'assurance maladie ;
Vu la délibération de la CNIL n°2006-090 portant autorisation de mise en œuvre par l’Institut de Recherche et Documentation en Economie de la Santé de l’Enquête Santé Protection Sociale 2006 ;
Vu les délibérations de la CNIL n° 2010-003 du 14 janvier 2010, 2010-301 du 15 juillet 2010, 2010-404 du 9 novembre 2010 et 2011-171 du 9 juin 2011 autorisant l’Institut de Recherche et Documentation en Economie de la Santé, l’IRDES, à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’enquête sur la santé et la protection sociale –ESPS 2010- ;
Sur la proposition de Monsieur Jean MASSOT, Commissaire et après avoir entendu, Mme ROLIN, Commissaire du gouvernement.
Formule les observations suivantes :
Sur la finalité poursuivie par le traitement
La Commission a été saisie par l’Institut de recherche et documentation en économie de la santé, IRDES, d’une enquête sur la santé et la protection sociale « ESPS - 2012 » qui a pour objet principal d’analyser l’articulation entre l’état de santé de la population, la consommation de soins, l’accès aux soins, la couverture santé et le statut économique et social. La finalité du traitement est déterminée, explicite, et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée. 
Sur la procédure applicable
La finalité du traitement est d’analyser les dépenses d’assurance maladie afin d’améliorer la prise en charge médicale des personnes et de contribuer à la réduction de la dépense publique. Cette finalité répond à une finalité d’intérêt public. La Commission considère, dès lors, qu’il y a lieu de faire application des dispositions des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements automatisés comportant des données relatives à la santé justifiés par l’intérêt public.
Présentation de l’enquête
L’enquête ESPS réalisée pour la première fois en 1988, est menée, depuis 2010, à partir de l’échantillon généraliste de bénéficiaires (EGB) issu des trois grands régimes de l’assurance maladie : la Caisse nationale d’assurance maladie des travailleurs salariés (CNAMTS), le Régime social des indépendants (RSI) et la Mutualité sociale agricole (MSA). Quatre sous-échantillons sont constitués, deux sous-échantillons sont sollicités alternativement tous les deux ans et deux autres sous-échantillons de réserve permettent de surreprésenter certains des bénéficiaires en fonction des études. En 2012, les bénéficiaires issus du régime de la MSA, du RSI et de la Couverture maladie universelle complémentaire (CMU-C) du régime général seront surreprésentés.
Afin de pouvoir surreprésenter ces échantillons et ainsi moduler leur exploitation, un indicateur non identifiant permettra de les différencier de l’échantillon principal. En outre, les fichiers transmis par l’INSEE à l’IRDES pourront permettre que les catégories de bénéficiaires soient différenciées sans permettre l’identification directe des personnes.
L'enquête est menée tous les deux ans avec alternance des sous-échantillons sollicités. Elle se déroule en deux sessions l'une au printemps l'autre à l'automne afin de tenir compte de la saisonnalité de certaines pathologies. Elle combine des données déclaratives (questionnaires) avec des données de remboursements de l’assurance maladie. Des questions identiques (socle commun) permettent de suivre les évolutions du système de santé au travers de l’expérience des assurés et des questions ponctuelles (enquêtes complémentaires) permettent des analyses spécifiques en fonction des demandes issues de la recherche.
Afin de connaître les recours aux soins, un appariement des données de l’enquête avec les données du système national d’information inter-régimes de l’assurance maladie (SNIIRAM) est prévu. Ce système, géré par la CNAMTS, comporte les informations résultant du traitement des feuilles de soins, y compris les données du codage des actes, des prestations, des produits, des médicaments, des actes de biologie, des affections de longue durée ainsi que les données de facturation des établissements de santé, chaînées par individu sur 2 ans, plus l’année en cours.
Le SNIIRAM ne comporte pas de données directement identifiantes sur les bénéficiaires de soins, en revanche les données relatives aux professionnels de santé enregistrées comportent leur numéro d’identification professionnelle.
Chaque année, les régimes d’assurance maladie extraient pour les personnes échantillonnées et leurs ouvrants droit ou ayants droit dénommés « grappe assurance maladie », leur adresse, NIR, identifiant SNIIRAM et les données médico-administratives dont le nom et le prénom. 
L’INSEE, tiers de confiance, attribue aux personnes échantillonnées et aux différents membres de la « grappe », un numéro d’ordre non signifiant, pérenne, spécifique à l’étude ainsi qu’un numéro d’ordre pour l’ensemble de la « grappe ». 
L’IRDES confie la réalisation des enquêtes à une société qui contacte les personnes. La société renvoie les données recueillies avec le numéro d’ordre spécifique à l’étude.
L’INSEE envoie à la CNAMTS les numéros d’ordre des bénéficiaires et des membres de la grappe ainsi que l’identifiant SNIIRAM afin que soient extraites les données de consommations de soins liquidées. Ces données sont ensuite expédiées à l’IRDES avec les numéros d’ordre.
Les données de consommation de soins et les données d’enquête sont appariées par l’IRDES.
Avant de transmettre les données à l’assurance maladie, l’IRDES transformera les numéros d’ordre avec une nouvelle fonction d’anonymisation. Cette transmission fera l’objet de formalités préalables auprès de la CNIL avant toute mise en œuvre. 
Un appariement des données de l’enquête et de l’assurance maladie obligatoire avec les données de remboursement issues des organismes d’assurance maladie complémentaire est également mis en place afin de connaître le reste à charge des ménages.
Cette deuxième partie de l’enquête, intitulée « projet MONACO » (Méthodes, Outils, Normes pour la mise en commun de données des Assurances Complémentaire et Obligatoire) a été autorisée par la CNIL le 15 juillet 2010. La Commission prend acte de ce qu’actuellement ce traitement est réalisé en phase pilote et qu’elle sera saisie de toute demande de généralisation du dispositif.  
Sur les catégories de données traitées