AgentPublic/cnil huggingface dataset:
La collecte de données génétiques et de données relatives à la vie sexuelle des patients a été scientifiquement justifiée dans le dossier de demande.
Information des personnes
Toutes les personnes concernées (patients et professionnels de santé) recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données (RGPD).
Transferts hors de l’Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Durées de conservation
Les données traitées sont conservées en base active dans la limite de deux ans suivant l'approbation par l'ANSM du résumé du dernier rapport de synthèse.
Les données sont ensuite archivées en base intermédiaire pendant la durée de l'autorisation du cadre de prescription compassionnel et ne peuvent pas être conservées, en fonction du médicament concerné, de l'indication thérapeutique visée et des dispositions législatives et règlementaires en vigueur, au-delà d'une période de soixante-dix ans à compter de la date d'expiration du cadre de prescription compassionnel. 
 
 
 
AUTORISE les laboratoires servier à mettre en œuvre le traitement décrit ci-dessus.
Le Directeur de l’accompagnement juridique
 
Thomas DAUTIEU
La Commission nationale de l'informatique et des libertés,
Vu le code de la défense, notamment ses articles R. 2311-7 à R. 2311-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 52, 108 et 118 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 141 et suivants ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 72 ;
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport, et M. Damien MILIC, commissaire du Gouvernement, en ses observations,
Décide :
Article 1
Sont désignés, aux fins de l'application des articles 108 et 118 de la loi du 6 janvier 1978, les membres suivants de la Commission, spécifiquement habilités à cet effet :
Mme Marie-Laure DENIS, conseillère d'Etat ;
Mme Laurence FRANCESCHINI, conseillère d'Etat ;
M. Bertrand du MARAIS, conseiller d'Etat ;
Mme Sophie LAMBREMON, conseillère honoraire à la Cour de cassation ;
M. Vincent LESCLOUS, avocat général honoraire à la Cour de cassation ;
M. Philippe-Pierre CABOURDIN, conseiller maître à la Cour des comptes ;
Mme Isabelle LATOURNARIE-WILLEMS, conseillère maître à la Cour des comptes.
Article 2
Les membres de la Commission désignés mènent les investigations utiles dans le cadre de l'exercice indirect des droits des personnes concernées tel que prévu aux articles 108 et 118 de la loi du 6 janvier 1978. Dans le cadre de ces vérifications, ils sont chargés de faire procéder aux modifications et suppressions nécessaires et de déterminer, en accord avec le responsable du traitement, si le résultat des vérifications menées ainsi que, le cas échéant, les données en cause, peuvent être communiqués au requérant.
Article 3
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 4 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote en présence de M. Damien Milic, commissaire du gouvernement,
Constate :
Article 1
Mme Anne DEBET est élue vice-présidente de la Commission.
Article 2
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote en présence de M. Damien Milic, commissaire du Gouvernement,
Constate :
Article 1
M. Vincent LESCLOUS est élu vice-président de la formation restreinte de la Commission.
Article 2
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
Date de l’avis : 7 décembre 2023
N° de la délibération : 2023-126
N° de demande d’avis : 23007637
Texte concerné : code des douanes, livre des procédures fiscales
Thématiques : droit de communication, recherche de manquements et d’infractions, administration douanière
Fondement de la saisine : a) du 4° du I de l’article 8 de la loi du 6 janvier 1978 modifiée
L’essentiel :
1. La CNIL a été saisie pour avis par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique du décret fixant les conditions d’exercice du droit de communication mentionné à l’article 65 bis A du code des douanes. Les évolutions portent, en particulier, sur le ciblage de la demande de ce droit de communication, sur les agents habilités à exercer un tel droit ainsi que sur le mode de transmission des informations demandées et son niveau de sécurité ;
 
2. De manière générale, la CNIL considère le dispositif légitime et assorti de garanties ;
 
3. La CNIL rappelle que le droit de communication s’exerce toujours de manière ponctuelle et motivée afin de limiter les atteintes importantes qu’il est susceptible de porter à la vie privée des personnes ;
4. La CNIL recommande une vigilance particulière sur le ciblage des demandes de communication, notamment en utilisant, dans la mesure du possible, au moins deux des critères de recherche prévus par le décret. Il revient également à l’administration de préciser systématiquement dans la demande de communication les informations recherchées. 
 
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
Saisie par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique d’une demande d’avis concernant un projet de décret fixant les conditions d’exercice du droit de communication mentionné à l’article 65 bis A du code des douanes ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
 
ADOPTE LA DÉLIBÉRATION SUIVANTE :
 
I. La saisine
 
A. Le contexte
La lutte contre la fraude douanière est un objectif de valeur constitutionnelle qui légitime certaines actions du Gouvernement et de l’administration en faveur d’une détection efficiente des manquements et des infractions prévus par le code des douanes. Ces actions s’inscrivent dans la feuille de route gouvernementale de lutte contre toutes les fraudes aux finances publiques, présentée en juin 2023.
 
Le droit de communication s’entend de la faculté reconnue à l’administration de prendre connaissance et, au besoin, copie des informations, documents et données détenus par diverses personnes limitativement énumérées par la loi, aux fins de s’assurer de la sincérité des déclarations des contribuables et, le cas échéant, de déclencher un contrôle.
 
En vertu des articles 65 et suivants du code des douanes, un droit de communication spécifique à l’administration douanière est aménagé lui permettant d’exiger la communication des papiers et documents, de toute nature, relatifs aux opérations intéressant leur service, et ce quel qu’en soit le support. Ce droit s’exerce dans les lieux listés au 1° de l’article 65, notamment dans les gares de chemin de fer ou les compagnies de navigation aérienne ou maritime.
L’article 81 de la loi de finances pour 2023, créant l’article 65 bis A du code des douanes, a ouvert le champ d’application de l’article 65 précité. L’administration douanière a désormais la possibilité, pour l’établissement de l’assiette et le contrôle des impôts, droits et taxes relevant de la compétence de cette administration, et en vue de la recherche de la fraude, d’obtenir des " informations relatives à des personnes non identifiées ".
 
B. L’objet de la saisine 
La CNIL a été saisie pour avis, sur le fondement du a) du 4° du I de l’article 8 de la loi du 6 janvier 1978 modifiée, par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique, du projet de décret fixant les conditions d’exercice du droit de communication mentionné à l’article 65 bis A du code des douanes telles que prévues par cet article.
 
Le projet de décret :
définit les agents habilités à exercer un tel droit de communication ;
précise les éléments objectifs permettant de cibler la demande de communication formulée par l’administration ;
détermine le mode de transmission des informations demandées et son niveau de sécurité ;
fixe les délais de transmission et de conservation de ces informations.
 
II. L’avis de la CNIL
À titre liminaire, la CNIL rappelle que le droit de communication prévu à l’article L. 81 du livre des procédures fiscales, dont les caractéristiques sont sensiblement similaires à celles du dispositif prévu aux articles 65 et suivants du code des douanes, s’exerce de manière ponctuelle et motivée afin de limiter les atteintes importantes qu’il est susceptible de porter à la vie privée des personnes. La CNIL considère que l’exercice du droit de communication prévu par l’article 65 bis A du code des douanes est régi par des principes équivalents.
 
A. Sur les finalités du traitement et les services douaniers concernés
 
L’article 65 du code des douanes prévoit un droit de communication " des papiers et documents de toute nature relatifs 
aux opérations intéressant " les services des douanes. L’article 65 bis A prévoit que ce droit de communication peut porter sur des informations relatives à des personnes non identifiées, et ce seulement pour " l'établissement de l'assiette et le contrôle des impôts, droits et taxes relevant de la compétence de l'administration des douanes et des droits indirects et en vue de la recherche de la fraude ".
 
Le ministère confirme que la liste des organismes pouvant faire l’objet d’une telle demande de communication par les agents douaniers habilités est identique à celle de l’article 65 du code des douanes, de même que les papiers et documents pouvant être collectés.
Le ministère confirme que, comparé au périmètre de l’article 65, celui du droit de communication de l’article 65 bis A est restreint. A titre d’illustration, ce dernier ne peut être mis en œuvre pour les missions de recouvrement des droits, cotisations, impôts indirects, redevances et taxes de toute nature. Le ministère précise également que les services des douanes particulièrement concernés par ce droit seraient ceux pouvant réaliser des enquêtes ou chargés de collecter des renseignements au sein de l’administration douanière.
 
La CNIL prend acte du caractère restreint du périmètre dans lequel s’exerce le droit de communication de l’article 65 bis A du code des douanes. Elle invite cependant le ministère à préciser expressément, dans le décret d’application, les directions, les services ou les missions ponctuelles pour lesquels un tel droit est nécessaire.
 
B. Sur le ciblage de la demande de communication
 
Le 2° de l’article 1er définit les éléments objectifs devant permettre de réaliser le ciblage nécessaire à cette demande de communication. Ces informations, cumulatives, sont :
" La nature de la relation juridique ou économique existant entre la personne soumise au droit de communication et les personnes dont l’identification est demandée " (a) ;
" La ou les informations demandées relatives aux personnes faisant l’objet de la recherche ; ces informations sont précisées par l'un au moins des critères de recherche suivants : - la situation géographique ; - le seuil pouvant être exprimé soit en quantité, nombre, fréquence ou montant financier ; - le mode de paiement. " (b) ; 
" La période, éventuellement fractionnée mais ne pouvant excéder vingt-quatre mois, sur laquelle porte la recherche " (c).
 
D’une part, la CNIL prend acte de ce qu’aucune base de données existante ne sera mobilisée pour le ciblage des demandes de communication. Elle rappelle qu’une demande de communication émanant de l’administration ne peut découler exclusivement d’une décision automatisée.
 
D’autre part, si la CNIL considère légitime la possibilité de fractionnement de la période sur laquelle porte la recherche, elle remarque que la limitation à vingt-quatre mois excède de six mois la disposition équivalente de l’article R*81-3 du livre des procédures fiscales en application du droit de communication de l’article L.81 du même livre. Dans la mesure où ces dispositifs fonctionnent de manière similaire et en l’absence de justifications complémentaires, la CNIL invite le ministère à réduire à dix-huit mois la période totale sur laquelle porte la recherche.
Le b) du 2° de l’article 1er du projet de décret prévoit que la ou les informations demandées relatives aux personnes faisant l’objet de la recherche sont précisées par l’un au moins des critères de recherche suivants : " - la situation géographique ; - le seuil pouvant être exprimé soit en quantité, nombre, fréquence ou montant financier ; - le mode de paiement.
 "
 
Si la CNIL reconnait l’intérêt ponctuel d’une demande de communication ne reposant que sur un seul de ces critères, elle invite l’administration à la plus grande vigilance quant au ciblage de telles demandes de communication. Elle prend acte de la déclaration de l’administration d’utiliser, en règle générale, au moins deux de ces critères, pratique à laquelle la CNIL est favorable.
 
C. Sur les données collectées
Le ministère affirme qu’il ne serait pas possible de préciser, en amont et de manière exhaustive, les données ou les catégories de données à caractère personnel collectées au titre de l’exercice du droit de communication prévu à l’article 65 bis A du code des douanes.
En premier lieu, la CNIL considère qu’il revient à l’administration des douanes de préciser systématiquement, dans sa demande de communication auprès des organismes visés, les informations sur les personnes physiques ou morales qu’elle souhaite recueillir. À titre d’illustration, l’administration douanière devrait indiquer qu’elle recherche des données d’état civil pour les personnes physiques ou des numéros d’identification pour les personnes morales. En tout cas, la précision systématique des informations recherchées par l’administration douanière constitue une garantie essentielle du ciblage de la demande de communication et, a fortiori, de la proportionnalité du dispositif. 
 
En deuxième lieu, la CNIL prend acte de ce que la collecte de données sensibles au sens de l’article 9 du RGPD n’est pas envisagée par l’administration douanière. Afin de prévenir tout risque de transmission de ce type de données, la CNIL recommande à l’administration de préciser systématiquement dans la demande de communication qu’elles ne doivent, en aucun cas, être transmises par les organismes.
 
En troisième lieu, il revient au ministère de s’assurer que les données transmises par les organismes faisant l’objet de la demande sont exactes. La CNIL invite le ministère à porter la plus grande attention à l’exactitude des données transmises et prend acte, pour les personnes physiques, de l’existence de recherches complémentaires pour éviter tout risque d’homonymie.
En dernier lieu, le ministère affirme qu’il ne serait pas toujours en capacité de préciser, a priori et de manière exhaustive, les catégories de personnes susceptibles de faire l’objet d’une telle recherche par l’administration douanière. La CNIL reconnait cette limite intrinsèque au droit de communication créé par le législateur et la considère donc légitime.
 
D. Sur la conservation des données et les traitements afférents
 
Le 4° de l’article 1er prévoit :
que l’administration fixe les délais dans lesquels lui sont communiquées les informations demandées ;
que celles-ci sont conservées pendant un délai de trois ans à compter de leur réception à l’exception de celles conservées dans le cadre des procédures du livre IV du titre II du code des douanes.
 
Le ministère précise que les données issues de l’article 65 bis A du code des douanes " n’ont pas vocation à être enregistrées dans des fichiers douaniers ". La CNIL s’interroge sur les conditions de stockage des données à caractère personnel communiquées par les organismes interrogés. En tout état de cause, le ou les traitements recueillant ces données devront respecter les principes de la protection des données.
La CNIL recommande au ministère, quel que soit le régime juridique applicable aux traitements dans lesquels s’inscriront les données transmises, d’établir une distinction claire dans les bases de données concernées entre les différentes catégories de personnes. Il peut, à titre d’illustration, s’agir de différencier, d’une part, les personnes à l’égard desquelles il existe des motifs sérieux de croire qu’elles ont commis ou sont sur le point de commettre une infraction et, d’autre part, les victimes ou les personnes à l’égard desquelles certains faits portent à croire qu’elles pourraient être victimes d’une infraction.
 
E. Sur les droits des personnes concernées
 
Le ministère précise que, dans la mesure où ce projet de texte ne vise pas la création d’un traitement, et que l’information des personnes concernées contreviendrait aux objectifs de l’exercice du droit de communication de l’article 65 bis A du code des douanes, aucune politique d’information n’est envisagée.
La CNIL recommande, en application des principes de loyauté et de transparence des traitements, qu’une information générale soit mise en œuvre en ligne afin d’expliquer l’existence et les finalités poursuivies par un tel droit de communication. Une politique d’information pourrait également apparaître lorsque les organismes visés par ce droit recueillent, en premier lieu, les données à caractère personnel auprès de leurs usagers. Cette politique viserait à s’assurer que ces derniers ont conscience qu’une telle collecte de leurs données à caractère personnel par l’administration douanière est possible, sans qu’elle soit certaine.
 
F. Sur la sécurité du dispositif de transmission 
 
Le 3° de l’article 1er prévoit que les informations obtenues au titre d’un tel droit à la communication sont communiquées " sur un support informatique, par un dispositif sécurisé. "
 
En application du 6° de l’article 4 de la loi du 6 janvier 1978 modifiée, l’administration douanière devra s’assurer de la mise en œuvre de solutions permettant d’assurer le respect des règles générales de sécurité en termes de disponibilité, d’intégrité et de confidentialité tout en conservant les traces nécessaires à la détection et à l’historique de toute action, malveillante ou non, sur les données traitées.
 
La CNIL rappelle que les données à caractère personnel doivent être chiffrées à l’aide d’algorithmes réputés forts, aussi bien durant leur transfert qu’au repos.
 
 
 
 
 
La présidente,
 
M.-L. Denis
Date de l’avis : 11 janvier 2024
N° de la délibération : 2024-001
N° de demande d’avis : 23015150
Organisme(s) à l’origine de la saisine : ministère de l’intérieur et des outre-mer
Textes concernés : projet de décret en Conseil d’État modifiant le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques ou nécessitant la consultation de ce répertoire
Thématiques : numéro d’inscription au répertoire national d’identification des personnes physiques (NIR), répertoire national d’identification des personnes physiques (RNIPP), sapeurs-pompiers volontaires, prestation de fidélisation et de reconnaissance
Fondement de la saisine : article 30 de la loi n° 78-17 du 6 janvier 1978 modifiée
 
 
L’essentiel :
Les dispositions du projet de décret n’appellent pas d’observations majeures de la CNIL.
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés "), notamment son article 30 ;
Sur la proposition de M. Alexandre Linden, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
ADOPTE LA DÉLIBÉRATION SUIVANTE :
I. La saisine
A. Le contexte
 
La prestation de fidélisation et de reconnaissance et la nouvelle prestation de fidélisation et de reconnaissance sont encadrées par les dispositions de la loi n° 96-370 du 3 mai 1996 relative au développement du volontariat dans les corps de sapeurs-pompiers.
 
Ces prestations permettent aux sapeurs-pompiers volontaires d’acquérir des droits à pension, versés sous la forme d’une rente viagère. Elles sont attribuées sous réserve de respecter des conditions d’âge et d’ancienneté.
B. L’objet de la saisine
Aux fins de gérer le régime de ces prestations, le projet de décret modifie le " décret cadre NIR " afin d’autoriser l’association nationale et les organismes de gestion mentionnés aux articles 15-2 et 15-11 de la loi du 3 mai 1996 à traiter le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).
II. L’avis de la CNIL
 
En vertu de ces mêmes articles, l’association nationale confie aux organismes de gestion, placés sous sa surveillance et sélectionnés par voie de marchés publics, la gestion administrative et financière des prestations de fidélisation et de reconnaissance des sapeurs-pompiers volontaires.
Pour ce qui concerne la nouvelle prestation de fidélisation et de reconnaissance, selon les articles 8 et 9 du décret n° 2017-912 du 9 mai 2017 relatif aux différentes prestations de fin de service allouées aux sapeurs-pompiers volontaires, les données utiles relatives aux sapeurs-pompiers volontaires sont transmises " à l'organisme national de gestion choisi par l'association nationale dans les conditions définies par le contrat conclu entre eux ". Cet organisme de gestion " recueille les données utiles relatives aux sapeurs-pompiers volontaires et assure le versement des prestations annuelles ".
 
D’après le ministère, les modalités applicables aux opérations de traitement de données à caractère personnel nécessaires à la gestion des prestations sont précisées dans les marchés publics passés avec les organismes de gestion et restent sous la surveillance de l’association nationale. À cet égard, les organismes de gestion traitent des données à caractère personnel au nom et pour le compte de l’association nationale qui est responsable de traitement au sens de l’article 4-7) du RGPD.
 
Dès lors, les organismes de gestion revêtent la qualité de sous-traitants au sens de l’article 28 du RGPD. Ils doivent établir avec l’association nationale un contrat ou un acte juridique précisant les obligations de chaque partie.