AgentPublic/cnil huggingface dataset:
prévoit la possibilité pour toute personne justifiant d’un intérêt légitime, au regard de l’objet ou de la nature de son activité relative à la prévention ou à la lutte contre le blanchiment de capitaux ou le financement du terrorisme, d’accéder à certaines informations sur les bénéficiaires effectifs qui étaient jusque-là publiques. Il énumère également les catégories de personnes présumées pouvant justifier de cet intérêt légitime (projet d’article L. 561-46-2 du CMF). Ces catégories sont celles que les colégislateurs ont identifiées dans la 6ème directive ainsi que celles pour lesquelles le ministère considère qu’il existe un intérêt en raison de leur contribution à la prévention et à la lutte contre le blanchiment et le financement du terrorisme. La 6ème directive anti-blanchiment permet, en effet, à chaque État membre d’identifier de nouvelles catégories de personnes sous réserve de les notifier à la Commission.
 
Si la CNIL n’a pas d’observations sur le projet d’article L. 561-46 du CMF qui tient compte des évolutions de la règlementation européenne, le projet d’article L. 561-46-2 du CMF appelle les observations suivantes.
 
a) Sur l’appréciation de l’intérêt légitime par l’INPI et les greffiers des tribunaux de commerce
Le projet d’article L. 561-46-2 du CMF prévoit que les demandes d’accès aux informations énumérées en son premier alinéa (nom, nom d’usage, pseudonyme, prénoms, mois et année de naissance, pays de résidence, nationalité du bénéficiaire effectif, nature et étendue des intérêts effectifs détenus dans la société ou l’entité) soient formulées par les personnes ayant un intérêt légitime auprès de l’INPI ou des greffiers des tribunaux de commerce compétents, les deux teneurs de registres qui alimentent le RNE, qui statuent sur ces demandes.
 
Conformément à l’arrêt Sovim, la 6ème directive subordonne l'accès du public aux informations sur les bénéficiaires effectifs conservées dans les registres centraux à la démonstration d'un intérêt légitime. Compte tenu des difficultés à mettre en œuvre ce concept, et afin de ne pas entraver l’objectif poursuivi, les colégislateurs ont identifiés certaines catégories de personnes qui bénéficient d’une présomption d’accès légitime. Cette présomption est sans préjudice de la possibilité pour les Etats-membres d’accorder l’accès, au cas par cas, à toute personne pouvant démontrer un intérêt légitime lié à la prévention du blanchiment de capitaux, de ses infractions sous-jacentes et du financement du terrorisme. La 6ème directive impose ainsi aux États membres de recueillir des informations sur les cas d'intérêt légitime qui vont au-delà des catégories définies dans la directive et les notifier à la Commission européenne.
Sur les modalités d’appréciation de l’intérêt légitime
Pour apprécier l’intérêt légitime, les teneurs de registre se fonderont sur des recommandations et des lignes directrices établies au niveau national. Des échanges sont actuellement en cours pour établir une doctrine pour l’appréciation de l’intérêt légitime ; ils doivent notamment permettre d’identifier des bases communes d’interprétation entre les organismes chargés de cette analyse.
 
Afin d’éviter les divergences d’appréciation entre l’INPI et les greffes des tribunaux de commerce, d’une part, et entre greffes des tribunaux, d’autre part, et garantir une harmonisation dans l’analyse des demandes, le ministère a précisé que plusieurs mesures seront mises en œuvre dans l’attente des actes d’exécution :
des formulaires uniformes seront élaborés pour la formulation des demandes d’accès et les pièces justificatives demandées identiques seront définies en amont ;
les demandes complexes devront être remontées via une boîte fonctionnelle accessibles aux ministères compétents qui accompagnent les teneurs de registre dans la définition de la doctrine évoquée ci-dessus.
des points réguliers seront faits entre les ministères compétents et les teneurs de registre dans les premiers mois afin d’accompagner la mise en place du système.
 
Ces éléments seront ensuite formalisés et encadrés, au niveau règlementaire dès que les actes d’exécution prévus par la 6ème directive anti-blanchiment seront adoptés.
En présence de cas complexes pour l’appréciation de l’intérêt légitime, la CNIL recommande la mise en œuvre d’une procédure claire de gestion des demandes. Cette procédure devrait prendre la forme d’un point de contact unique chargé de remonter la demande aux ministères compétents et de délivrer la validation de l’intérêt légitime invoqué. 
 
Par ailleurs, le ministère a précisé que la Commission européenne pourra émettre, dans un second temps, des lignes directrices. Les Etats membres devront ajuster leur doctrine en conséquence.
Sous cette réserve, la CNIL accueille favorablement les mesures prises par le ministère pour accompagner les teneurs de registre dans l’établissement d’une doctrine d’appréciation de l’intérêt légitime. Elle sera attentive à l’adaptation des règles nationales conformément aux recommandations et outils de droit souple établis par la Commission européenne, le cas échéant. 
 
b) Sur l’exercice de la marge de manœuvre laissée par la 6ème directive
 
Sur la présomption d’intérêt légitime accordée aux personnes physiques et morales, ainsi que les administrations de l’Etat, les collectivités locales et leurs établissements publics et sociétés d’économie mixte soumis aux obligations de l’article 17 de la loi du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (la loi Sapin II)
Le point j) du projet d’article 561-46-2 du CMF accorde le bénéfice de la présomption d’intérêt légitime aux entités citées ci-dessus investies d’une mission de détection et de prévoyance de la corruption ou du trafic d’influence.
 
Compte tenu du fait que la corruption est une des infractions sous-jacentes du blanchiment de capitaux, le lien entre la lutte anticorruption et les objectifs de LCB-FT poursuivis par la consultation des données des bénéficiaires effectifs est établi. Le ministère apparaît dès lors fondé à ajouter cette nouvelle catégorie de personnes parmi celles bénéficiant de la présomption d’intérêt légitime.
 
Sur la présomption d’intérêt légitime accordée aux prestataires externes dans le cadre d’un contrat avec les entités assujetties à la LCB-FT, aux autorités compétentes ou aux entités investies d’une mission de lutte contre la corruption
Dans le cadre de leur devoir de vigilance, de connaissance client et d’analyse de la relation d’affaire, de nombreuses entreprises délèguent tout ou partie de leurs obligations à des prestataires externes.
 
Afin de permettre à ces prestataires de continuer à accéder aux informations relatives aux bénéficiaires effectifs, le projet d’article 561-42-2 leur accorde le bénéfice de la présomption d’intérêt légitime. Ces prestataires sont prévus aux :
i) du 2° du I du projet d’article : les prestataires externes liés aux entités assujetties à la LCB-FT et aux autorités compétentes mentionnées au 2° de l’article 561-46, par un contrat, en vertu duquel ils justifient du besoin d’accéder aux données des bénéficiaires effectifs ;
k) du 2° du I du projet d’article : les prestataires externes liés aux entités investies d’une mission de lutte contre la corruption, par un contrat portant sur au moins une des mesures de vigilance mentionnées à l’article 17 de la loi Sapin II.
 
Les point i) et k) du 2° du I du projet d’article 561-46-2 du CMF font principalement référence aux sociétés spécialisées en information de solvabilité et de prévention de la défaillance dans le cadre des contrats qui les lient aux entités assujetties à la LCB-FT. Le ministère a précisé que ces prestataires sont essentiels pour les entités assujetties qui leur délèguent notamment la vérification de l'identité du ou des bénéficiaires effectifs de leurs clients.
Ces entités peuvent procéder à une communication ultérieure des données des bénéficiaires effectifs dans le cadre des contrats évoqués ci-dessus, par le biais desquels les prestataires se sont vus déléguer tout ou partie des obligations de leurs clients au titre des articles L. 561-2 du CMF et 17 de la loi Sapin II. Seules les informations concernant un organisme avec lequel le client a vocation à entrer en relation d’affaire pourront être accédées et communiquées par ces prestataires.
La CNIL accueille favorablement les garanties prévues par le texte, qui conditionnent l’accès aux données des bénéficiaires effectifs, par ces prestataires, à l’existence d’un contrat établi avec au moins l’une des entités assujetties à la LCB-FT ou investies d’une mission de lutte contre la corruption. S’agissant de la communication ultérieure autorisée dans le cadre de ces mêmes contrats, elle souligne le bien-fondé d’une communication ciblée aux seules informations sur l’organisme ou la personne avec lequel leur client a vocation à entrer en relation d’affaire.
c) Sur l’encadrement contractuel des conditions d’utilisation des données par les prestataires externes 
Les conditions d’utilisation des données, une fois l’accès accordé par l’une des entités chargées du registre, seront précisées par voie contractuelle.
 
Le ministère a indiqué que ces conventions - liant les teneurs de registre et les prestataires externes mentionnés ci-dessus qui réutiliseront les informations pour leurs clients assujettis - tiendront compte des dispositions de la 6ème directive anti-blanchiment, éclairées par la jurisprudence de la CJUE (par exemple, la réévaluation régulière de l’accès, la vérification des informations qui ont permis à l’organisme de se prévaloir d’un intérêt légitime dans le temps, etc.). En tout état de cause, ces informations devront figurer dans le décret pris en Conseil d’Etat.
d) Sur l’encadrement de l’utilisation ultérieure des données des bénéficiaires effectifs, notamment par les journalistes et les membres de la société civile
 
L’article 561-46-2 du CMF encadre la communication ultérieure des données des bénéficiaires effectifs. La CNIL souligne que l’utilisation ultérieure qui sera faite de ces données est susceptible de porter atteinte aux droits des personnes concernées.
 
Il convient en premier lieu de rappeler que toute réutilisation de ces données constitue un traitement encadré par le RGPD.
 
En second lieu, il apparaît nécessaire que les personnes physiques et morales concernées par la réutilisation de leurs données (par exemple, la publication d’un article par un journaliste, qui aura pu accéder aux données du fait d’une présomption d’intérêt légitime) puissent également accéder à ces données. Ces personnes pourront accéder aux données les concernant au titre du droit d’accès garanti par le RGPD, mais cela ne suffira pas nécessairement à leur permettre d’assurer correctement leur défense. La CNIL invite le gouvernement à ce que, soit à travers le projet de loi, soit à travers la doctrine d’application de celle-ci, l’intérêt légitime de ces personnes à accéder aux informations nécessaires à leur défense soit effectivement garanti.
 
B. Sur les dispositions relatives aux actions représentatives visant à protéger les intérêts collectifs des consommateurs
Le projet de loi prévoit d’ajouter après le 3° du IV de l’article 37 de la loi "informatique et libertés", les organismes mentionnés à l’article 76-2 de la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle (tel que modifié par le projet) au titre des entités qui peuvent exercer une action de groupe, en l’espèce des actions représentatives transfrontières, devant les juridictions compétentes. La CNIL n’a pas d’observations sur ce point.
 
Elle relève toutefois que l’article 37.II de la loi "informatique et libertés" prévoit que l’action de groupe peut être exercée devant la juridiction civile ou la juridiction administrative compétente "
au vu des cas individuels présentés par le demandeur
 qui en informe la Commission nationale de l'informatique et des libertés".
Elle rappelle qu’il n’est nécessaire de présenter des cas individuels à l’appui de la demande en justice que pour l’action en réparation et que cela n’est pas nécessaire pour l’action en cessation (article 8.3 de la directive). La CNIL prend acte de l’engagement du ministère visant à modifier ces dispositions afin de ne plus faire référence à l’exigence de présentation de cas individuels pour les actions en cessation qui seront exercées par les organismes ajoutés après le 3° du IV de l’article 37 dans le cadre des actions prévues par la directive (UE) 2020/1828. 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception :
de la nature des données traitées ;
des accédants aux données ;
de certaines mesures de sécurité.
La CNIL relève également que la base légale admissible du traitement n’est pas celle permise dans le référentiel.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par ce référentiel, notamment les conditions d’information des personnes concernées.
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé " Platform for Primary Care (P4DP) ".
Ce dernier a pour finalités :
la réalisation de recherches, études et évaluations dans le domaine de la santé par des porteurs de projet ;
la production d’indicateurs visant à aider les médecins à évaluer et améliorer la qualité des soins ;
la production d’indicateurs pour la veille sanitaire et épidémiologique ;
la description de l’activité des médecins généralistes et l’adaptation des politiques publiques ;
la réalisation d’études de faisabilité (pré-screening).
L’entrepôt a vocation à constituer la plateforme nationale de données de vie réelle de la médecine de ville et de surveillance épidémiologique pour optimiser les pratiques, les parcours de soin et les politiques de santé publique.
La finalité du traitement est déterminée, explicite et légitime, conformément aux dispositions de l’article 5-1-b) du Règlement général sur la protection des données (RGPD).
 
Les données contenues dans cet entrepôt ne devront être exploitées ni à des fins de promotion des produits mentionnés au II de l'article L. 5311-1 du code de la santé publique (CSP) en direction de professionnels de santé ou d’établissements de santé, ni à des fins d'exclusion de garanties des contrats d'assurance, ni de modification de cotisations ou de primes d'assurance d'un individu ou d'un groupe d'individus présentant un même risque.
 
La base légale du traitement repose sur l’intérêt légitime de son responsable au sens de l’article 6.1.f) plutôt que sur l’article 6.1.e) du RGPD.
 
Le traitement remplit les conditions permettant la collecte de données concernant la santé au regard des dispositions des articles 9-2-j) du RGPD et 44-3° de la loi " informatique et libertés " modifiée.
Les utilisations futures des données contenues dans cet entrepôt s’inscriront dans le cadre des dispositions des articles 66 et 72 et suivants de la loi " informatique et libertés ", qui imposent que chaque projet de recherche, étude ou évaluation soit justifié par l’intérêt public. Ces traitements devront faire l’objet de formalités propres.
Sur les données traitées
Les données collectées dans le cadre de l’entrepôt sont issues uniquement des dossiers médicaux des patients pris en charge par les professionnels de santé ayant conclu une convention de partenariat pour leur participation au projet P4DP.
 
Les données dont le traitement n’est pas prévu par le référentiel " entrepôt de données dans le domaine de la santé " sont les suivantes :
données des professionnels de santé : 
l’âge et l’année de thèse ;
maître de stage ou non ;
statut du professionnel (libéral, salarié, remplaçant) et type de lieu d’exercice (exercice individuel, cabinet de groupe, maison de santé pluriprofessionnelle) ;
nom et FINESS de la structure de soins et de la communauté professionnelle territoriale de santé ;
département et région ;
logiciel de consultation.
données des personnes concernées :
NIR de l’ouvrant droit.
Le dossier de demande prévoit également la collecte du NIR du bénéficiaire (ayant droit) et du numéro d’identifiant permanent du patient (IPP).
La collecte de ces données a été justifiée dans le dossier de demande :
d’une part, par le caractère progressif du déploiement de l’identifiant national de santé (INS) au sein des logiciels des professionnels de santé partenaires ;
et d’autre part, compte tenu du projet d’appariement ultérieur des données de l’entrepôt " P4DP " aux données du SNDS (qui fera l’objet d’une demande de modification substantielle).
La CNIL estime que le responsable de traitement ne devra collecter le NIR des ouvrants droits que dans l’hypothèse où il ne serait pas en mesure de collecter le NIR des ayants droits. 
La donnée relative à l’IPP n’apparait pas, en l’état actuel du dossier, pertinente dans le cadre de la finalité de l’entrepôt.
Sous ces conditions, ces données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement, conformément aux dispositions de l’article 5-1-c) du RGPD.
Sur les accédants aux données 
Le dossier de demande mentionne que les accès aux informations contenues dans l’entrepôt sont effectués conformément aux exigences prévues par le référentiel " entrepôts de données de santé ", à l’exception de ceux permis aux médecins de l’information médicale des universités.
Ces derniers accèderont aux données de l’entrepôt au titre des missions suivantes :
administration de la chaîne d’intégration des données au sein de l’entrepôt ;
création et administration des jeux de données et des espaces projets des équipes de recherche ;
génération de rapports d'analyses ;
revue des données de l’entrepôt une fois par an et lors des demandes des porteurs de projet ;
exercice des droits des patients.
Ces modalités d’accès sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions
Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de certaines d’entre elles, précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art.
Le responsable de traitement a réalisé et transmis à l’appui de la demande d’autorisation une analyse d’impact relative à la protection des données spécifique à la création de l’entrepôt.
Les accès des médecins de l’information médicale seront sécurisés avec l’ensemble des mesures portées par le référentiel, en particulier la gestion des habilitations, l’authentification multifacteur et la traçabilité des opérations effectuées.
Par exception au référentiel " entrepôt de données dans le domaine de la santé ", les données brutes extraites des dossiers informatiques des médecins participants seront directement transmises dans une " zone de prétraitement " de l’entrepôt, dédiée aux opérations de pseudonymisation. La transmission sera réalisée sur un canal chiffré par une clé spécifique à chaque envoi, avec une authentification mutuelle par certificats.
La zone de prétraitement sera instanciée dans une boîte noire en mémoire ; elle hébergera un processus assurant la pseudonymisation des données dès leur réception, puis leur versement dans l’entrepôt. La mémoire sera automatiquement vidée en fin de processus et la zone sera soumise à des règles d’accès, de non archivage et de gestion spécifique. Les données détaillées des professionnels de santé devront faire l’objet de mesures de cloisonnement par rapport aux données des patients versées dans l’entrepôt.
 
AUTORISE, dans ces conditions, le COLLEGE NATIONAL DES GENERALISTES ENSEIGNANTS à mettre en œuvre le traitement décrit ci-dessus.
 
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
 
Sur les points de non-conformité au référentiel concerné
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel " entrepôt de données dans le domaine de la santé ", à l’exception de :
la gouvernance de l’entrepôt ;
de certaines mesures de sécurité.
En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel " entrepôt de données dans le domaine de la santé ".
Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé
Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé.
Ce dernier vise la réalisation d’évaluations dans le domaine de la santé. Il a notamment pour finalités l’analyse et l’évaluation du dispositif de prévention des suicides " VigilanS ". Ce dispositif de soin post-hospitalier consiste à organiser un suivi systématique des personnes suicidantes. Il est intégré à la stratégie nationale de prévention du suicide, mise en place par l’instruction DGS/SP4/2022/171 du 6 juillet 2022 du ministre de la santé et de la prévention. Cette instruction confie à l’Agence nationale de santé publique la centralisation de l’ensemble des bases de données régionales " VigilanS " aux fins de surveillance et d’évaluation.
Pour ce faire, l’EDS a pour objectif la production d’indicateurs concernant :
le dispositif de veille des patients ;
le profil des patients inclus dans le dispositif ;
le taux de couverture du dispositif " VigilanS " ;
le taux d’inclusion de patients dans le dispositif par rapport au nombre total de patients suicidants au plan national.