AgentPublic/cnil huggingface dataset:
Des mesures techniques et organisationnelles ont été prévues par la société Clinityx afin de cloisonner les différentes extractions de données du SNDS pouvant être stockées au sein de sa solution technique. Des environnements distincts, fondés sur des solutions de conteneurisation logicielle, sont notamment mis en œuvre afin d’empêcher toute fusion des données. L’outil de requêtage, les données sur lesquels reposent cet outil, ainsi que les espaces projet contenant les données servant à la production des indicateurs seront de même cloisonnés entre eux grâce à l’utilisation de ces solutions.
 
La CNIL prend acte de ce que l’accès à l’outil de requêtage et aux espaces projet ne sera possible que pour des personnes spécifiquement habilitées faisant partie du personnel interne de la société Clinityx, à l’exclusion de toute autre personne extérieure. Des mesures techniques et organisationnelles seront mises en œuvre dans la solution technique afin de différencier les accès des personnels pouvant accéder à la base de données de l’entrepôt "Magellan" contenant l’extraction des données du SNDS sur lequel repose l’outil de requêtage et les accès des personnels ne pouvant accéder qu’aux données minimisées contenues dans les espaces projets.
Les études de faisabilité ne pourront être réalisées que pour des populations d’au moins 150 patients après sélection des différents critères d’inclusion et d’exclusion. L’exportation de données hors de l’entrepôt "Magellan" et des espaces projet associés consistera exclusivement en des rapports statistiques comprenant des indicateurs anonymes ne permettant aucune ré-identification des personnes, et qui seront transmis exclusivement aux responsables de traitement suite aux requêtes réalisées via l’outil Magellan. A cette fin, un seuil minimal de onze individus sera retenu pour chaque agrégation et le nombre de patients nécessaires afin de calculer un indicateur sera bruité d’un nombre aléatoire compris entre un et dix. La CNIL rappelle que les responsables de traitement doivent réaliser une analyse permettant de démontrer que leurs processus d’anonymisation respectent les trois critères définis par l’avis n° 05/2014 sur les techniques d’anonymisation adoptés par le groupe de l’Article 29 (G29) le 10 avril 2014. Si ces trois critères ne peuvent être réunis, une analyse approfondie des risques d’identification doit être menée afin de démontrer que ces derniers, avec des moyens raisonnables, sont inexistants.
Les mesures de sécurité décrites répondent aux exigences prévues par les articles 5.1.f et 32 du RGPD, compte tenu des risques identifiés par les responsables de traitement. Il appartiendra à ces derniers de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
Sur les transferts de données en dehors de l’Union européenne :
Aucun transfert de données en dehors de l’Union européenne ne sera réalisé dans le cadre de ces études.
Sur le principe de transparence :
L’encadrement de la mise à disposition des données du SNDS et de ses composantes est conçue de façon à permettre de rendre compte de leur utilisation au public. A cette fin, l’article L. 1461-3 du CSP subordonne l’accès aux données du SNDS et de ses composantes à la communication à la Plateforme des données de santé (PDS) de plusieurs éléments par le responsable de traitement, avant et après les études.
Ainsi, la société Clinityx s’engage à enregistrer auprès du répertoire public tenu par la PDS l’ensemble des études réalisées dans le cadre de cette décision unique. Cet enregistrement, à effectuer par le responsable de traitement ou la personne agissant pour son compte avant le début des traitements, s’accompagne de la transmission à la PDS d’un dossier comportant :
le protocole, incluant la justification de l’intérêt public, ainsi qu’un résumé, selon le modèle mis à disposition par la PDS ;
la déclaration d’intérêts du responsable de traitement, en rapport avec l'objet des traitements.
La CNIL rappelle qu’à la fin des études, la méthode et les résultats obtenus devront être communiqués à la PDS en vue de leur publication. L’enregistrement des traitements et la transmission des résultats sont effectués conformément aux modalités définies par la PDS.
A l’issue du délai de trois ans, un bilan contenant notamment la liste des analyses réalisées dans le cadre de la décision unique ainsi que la méthodologie suivie dans le cadre des analyses devra être adressé à la CNIL.
Autorise, conformément à la présente délibération, la société Clinityx à mettre en œuvre les traitements décrits ci-dessus pendant une durée de trois ans, avec obligation de remise d’un bilan à la CNIL à l’issue de ce délai.
La Présidente
Marie-Laure DENIS
Date de l'avis : 13 avril 2023
N° de la délibération : 2023-032
N° de demande d'avis : 23002355
Organisme à l'origine de la saisine : ministère de l'agriculture et de la souveraineté alimentaire
Texte concerné : projet de décret en Conseil d'État relatif aux mesures prises pour assurer la traçabilité et le suivi statistique et administratif des animaux dont l'identification est obligatoire.
Thématiques : règlement (UE) 2016/429 du Parlement européen et du Conseil du 9 mars 2016 relatif aux maladies animales transmissibles, loi n° 2021-1539 du 30 novembre 2021 visant à lutter contre la maltraitance animale et conforter le lien entre les animaux et les hommes, L. 212-2 et L. 214-6-4 du code rural et de la pêche maritime.
Fondement de la saisine : art. L. 212-2 et L. 214-6-4 du code rural et de la pêche maritime
L'essentiel :
Les dispositions du projet de décret n'appellent pas d'observations majeures de la CNIL.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi "informatique et libertés") ;
Sur la proposition de M. Alain DRU, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
L'identification et l'enregistrement de certains animaux sont imposés par différents textes ("législation sur la santé animale") afin de garantir leur traçabilité. Aux ovins, caprins, porcins, bovins et équidés, ont été ajoutés les carnivores domestiques (chiens, chats, furets). L'article L. 212-2 du code rural et de la pêche maritime (CRPM) prévoit que des données relatives aux animaux concernés et à leurs propriétaires ou détenteurs successifs sont enregistrées dans un fichier national.
Ce fichier unique regroupe les bases de données propres à chaque espèce ou groupe d'espèces (OVINFOS, ICAD, BASAVI, BDPORC et NORMABEV) dont le pilotage est opéré par des personnes agréées par le ministère de l'agriculture et de la souveraineté alimentaire.
La loi n° 2021-1539 du 30 novembre 2021 complète les dispositions du CRPM et prévoit :
- la transmission au fichier national, par les personnes en charge d'une fourrière ou d'un refuge ou exerçant à titre commercial des activités de transit, de garde, d'éducation, de dressage et de présentation au public de chiens et de chats, de vente d'animaux de compagnie ou exerçant l'activité d'élevage de ces animaux, des informations relatives à leurs capacités d'accueil, à la traçabilité des animaux dont elles ont la charge et à leur suivi sanitaire ;
- l'enregistrement dans ce fichier, des données relatives aux carnivores domestiques et des données à caractère personnel relatives à leurs propriétaires ou détenteurs successifs.
B. - L'objet de la saisine
L'article L. 212-2 du CRPM prévoit qu'un décret en Conseil d'Etat, pris après avis de la CNIL, vient préciser la nature des données collectées, les conditions dans lesquelles la collecte de ces données et leur traitement peuvent être confiés à des personnes agréées par le ministère de l'agriculture, leur durée de conservation, les conditions de mise à jour des données enregistrées et les catégories de destinataires de ces données.
II. - L'avis de la CNIL
A. - Sur la durée de conservation
Le projet de décret modifie la conservation des informations enregistrées en allongeant la durée maximale de conservation de cinq à dix ans.
Selon le ministère, cet allongement serait nécessaire :
- au regard des obligations imposées par le droit de l'Union européenne aux Etats membres s'agissant des contrôles opérés au titre de la politique agricole commune (PAC) ; et
- pour mener des études épidémiologiques dans le cadre de la lutte contre certaines maladies animales.
La CNIL prend acte de ce qu'il s'agit d'une durée de conservation maximale qui sera adaptée en fonction de l'espèce ou du groupe d'espèces concernés. Elle rappelle néanmoins que les données ne doivent être conservées en base active que pour la durée nécessaire à la réalisation de l'objectif poursuivi, en l'espèce la traçabilité d'un animal de sa naissance à sa mort.
Les données nécessaires afin de répondre à des obligations légales (telles que celles prévues par le règlement UE n° 2016/429 en matière de lutte contre les maladies contagieuses, ainsi qu'à celles de la PAC s'agissant des contrôles) devraient faire l'objet d'un archivage intermédiaire.
B. - Sur les destinataires
La liste des organismes habilités à recevoir communication des informations enregistrées au sein du fichier national est complétée, notamment, avec les services de communication au public (plateformes de ventes en ligne, etc.) ainsi que les annonceurs autorisant la diffusion d'offres de cession de carnivores domestiques sur son service.
A cet égard, l'auteur de l'offre de cession doit désormais vérifier au préalable la validité de l'enregistrement de l'animal sur le fichier national.
Ces ajouts ainsi que les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le h) du 2° du I de son article 8 ;
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement. 
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés (ci-après, la CNIL ou la Commission) est compétente pour agréer des organismes en vue de délivrer la certification des compétences du délégué à la protection des données sur la base d’exigences qu’elle adopte.
Le fonctionnement du dispositif de certification de personnes des compétences du délégué à la protection des données a fait l’objet d’une évaluation en vue d’adapter, le cas échéant, les exigences du référentiel adopté par la Commission.
La présente délibération modifie la délibération n° 2018-317 du 20 septembre 2018 portant adoption des critères du référentiel d'agrément d'organismes de certification pour la certification des compétences du délégué à la protection des données (DPO), qui fixe les exigences d’agrément des organismes de certification pour la certification des compétences de personnes physiques en tant que délégué à la protection des données, tel que mentionné à la section 4 du chapitre IV du règlement (UE) 2016/679. 
La présente délibération modifie également la délibération n° 2018-318 du 20 septembre 2018 portant adoption des critères du référentiel de certification des compétences du délégué à la protection des données (DPO).
Il est précisé que, les deux délibérations susmentionnées utilisent le sigle "DPO". Ce sigle correspond à la notion de délégué à la protection des données telle qu’entendue par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE et la loi n° 78-17 du 6 janvier 1978.
 
Décide
 
1° Au premier paragraphe de la délibération n° 2018-317 du 20 septembre 2018, les mots : "(ci-après "DPO")" sont supprimés. 
2° Au troisième paragraphe de la délibération susmentionnée, le sigle : "DPO" est remplacé par les mots : "délégué à la protection des données".
3° Le référentiel annexé à la délibération susmentionnée est ainsi modifié : 
a) À l’exigence 8.1, les mots "; - tous les 6 mois à compter de la délivrance de l'agrément, les statistiques de réussite de l'épreuve écrite ainsi que le registre actualisé des personnes certifiées DPO comprenant les noms, prénoms, la date de délivrance de la certification et la date d'expiration" sont supprimés ;
b) L’exigence 3.2 est ainsi rédigée : "L'organisme de certification adresse à la personne certifiée un certificat de délégué à la protection des données certifié portant sur le libellé "Délégué à la protection des données certifié conformément au référentiel de certification des compétences du DPO de la CNIL". À compter du 1er janvier 2024, le libellé est ainsi rédigé "Certifié conformément au référentiel de certification des compétences du délégué à la protection des données de la CNIL"." ;
c) À l’exception de l’exigence 3.2 et de l’intitulé du référentiel annexé, le sigle : "DPO" est remplacé par les mots : "délégué à la protection des données" ;
d) L’annexe "Programme de l’évaluation écrite (domaines)" est ainsi modifiée :
au point 1.6, les mots : "(DPO)" sont supprimés ;
aux points 1.6.3 à 1.6.6 inclus, le sigle : "DPO" est remplacé par les mots : "délégué à la protection des données".
4° Dans l’annexe "RÉFÉRENTIEL DE CERTIFICATION DES COMPÉTENCES DU DÉLEGUÉ À LA PROTECTION DES DONNÉES (DPO)" de la délibération n° 2018‑318 du 20 septembre 2018, à l’exception de l’intitulé, le sigle : "DPO" est remplacé par les mots : "délégué à la protection des données". 
 
La présente délibération sera publiée au Journal officiel de la République française.
 
La Présidente
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le b) du 2° du I de son article 8 ;
Après avoir entendu le rapport de M. Alexandre LINDEN, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement adjoint ;
Décide :
1° Le référentiel relatif aux traitements de données à caractère personnel destinés à la mise en œuvre d'un dispositif d'alertes professionnelles en annexe est adopté ;
2° La délibération n° 2019-139 du 18 juillet 2019 portant adoption d'un référentiel relatif aux traitements de données à caractère personnel destinés à la mise en œuvre d'un dispositif d'alertes professionnelles est abrogée.
La Présidente
Marie-Laure DENIS
RÉFÉRENTIEL
RELATIF AUX TRAITEMENTS DE DONNEES A CARACTERE PERSONNEL DESTINES A LA MISE EN ŒUVRE D’UN DISPOSITIF D’ALERTE
Version adoptée le 6 juillet 2023
1. A qui s’adresse ce référentiel ?
1. Ce référentiel s’adresse :
- aux organismes privés ou publics qui sont tenus ou décideraient de mettre en œuvre un dispositif de recueil et de gestion internes des alertes professionnelles (DAP) impliquant un traitement de données à caractère personnel, quelle que soit leur taille et qu’ils soient ou non membres d’un groupe de sociétés national ou international ;
- aux différentes entités tierces proposant des services liés à la réception, au traitement et à la conservation des alertes.
2. Les organismes mettant en place un DAP doivent s’assurer de sa conformité :
- aux dispositions du Règlement général sur la protection des données (RGPD) et de la loi du 6 janvier 1978 "informatique et libertés" (LIL). En effet, lorsque ces dispositifs, comme c’est le cas en règle générale, impliquent la mise en œuvre d’un traitement de données relatives à des personnes physiques identifiées ou identifiables (notamment celles de l’auteur et de la ou les personnes visées par l’alerte), ils sont soumis aux règles relatives à la protection des données personnelles ;
- à l’ensemble d’autres règles de droit applicables en vertu des législations spécifiques ou générales (droit du travail). Le responsable de traitement doit garantir le respect des droits et des libertés fondamentales ainsi que des intérêts légitimes des personnes concernées.
2. Portée du référentiel
3. Ce référentiel a pour champ d’application l’ensemble des traitements susceptibles d’être mis en place en vue d’assurer la réception et le traitement des alertes professionnelles.
4. Il s’applique en particulier aux traitements de signalements encadrés par des dispositions spécifiques du droit français, tels que : 
- un dispositif d’alerte interne relevant de l’article 17.II.2° de la loi Sapin 2 modifiée et permettant le recueil des faits relatifs à "l'existence de conduites ou de situations contraires au code de conduite de la société" ;
- un dispositif d’alerte interne relevant des articles 6 et suivants de la même loi et permettant (sous certaines conditions et limites) le recueil des faits tels qu’ "un crime ou délit, une menace ou un préjudice pour l'intérêt général, une violation, une violation
supposée ou une tentative de dissimulation d’une violation : d'un engagement international régulièrement ratifié ou approuvé par la France, d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un tel engagement, du droit de l’Union européenne, de la loi ou du règlement" ;
5. Le référentiel s’applique également aux dispositifs d’alertes mis en place sans contrainte règlementaire par des organismes, ou mis en œuvre pour se conformer à une obligation résultant du droit étranger, et dont le régime n’est pas expressément encadré par des règles juridiques françaises.
6. Afin de couvrir l'ensemble de ces dispositifs, le référentiel adopte une définition large de ce qui constitue une "alerte professionnelle" : il
s’applique ainsi aux traitements automatisés des données permettant de recevoir, traiter et conserver tout signalement effectué de bonne foi et qui révèle ou signale une violation de règles juridiques (qu’elles soient françaises, européennes, internationales ou étrangères) ou éthiques.
7. Le référentiel a pour objectif de fournir aux organismes mettant en œuvre de tels traitements un outil d’aide à la mise en conformité à la réglementation relative à la protection des données à caractère personnel.
8. Ce référentiel n’ayant pas de valeur contraignante, les organismes peuvent s’en écarter. Il leur appartient néanmoins de justifier et de documenter ce besoin et les mesures mises en œuvre afin de garantir la conformité des traitements à la réglementation en matière de protection des données à caractère personnel. Les traitements en question doivent être inscrits dans le registre prévu à l’article 30 du RGPD (voir modèle de registre).
9. Il appartient, en tout état de cause, aux acteurs concernés de s’assurer qu’ils respectent les autres réglementations qui peuvent par ailleurs trouver à s’appliquer (code de la fonction publique, code du commerce, code de l’action sociale et des familles ainsi que des dispositions éventuellement applicables des droits étrangers, sous réserve de leur compatibilité avec l’ordre public international, etc.).
10. Ce référentiel constitue également une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD).
11. Les organismes peuvent également se reporter aux outils méthodologiques proposés par la CNIL sur son site web en vue de faciliter la mise en conformité des traitements mis en œuvre. Ils seront ainsi à même de définir les mesures permettant d’assurer la nécessité et la proportionnalité de leurs traitements, de garantir les droits des personnes et la maîtrise de leurs risques. L’organisme pourra également s’appuyer sur les lignes directrices de la CNIL sur les AIPD. Si l’organisme en a désigné un, le délégué à la protection des données (DPD/DPO) devra être consulté.
3. Objectifs poursuivis par le traitement (finalités)
12. Le traitement des données d’alertes internes doit répondre à des objectifs précis et être justifié au regard des missions et des activités de l’organisme.
13. En ce qui concerne les DAP, le traitement de données est mis en œuvre afin de :
- recueillir et traiter les alertes ou signalements visant à signaler un manquement à une règle spécifique ;
- effectuer les vérifications, enquêtes et analyses nécessaires ;
- définir les suites à donner au signalement ;
- assurer la protection des personnes concernées ;
- exercer ou défendre des droits en justice.
Exemples 
:
Exemple 1.1 (alertes de l’article 6 de la loi "Sapin 2" modifiée) :
Un DAP mis en œuvre pour répondre aux exigences de l’article 8.I.B de la loi "Sapin 2" modifiée vise à permettre à l’ensemble des personnes énumérées à l’article 8.I.A de cette loi (membres du personnel, associés, actionnaires, collaborateurs extérieurs et occasionnels, cocontractants, sous-traitants, etc.), de signaler ou de divulguer "un crime, un délit, une menace ou un préjudice pour l'intérêt général, une violation ou une tentative de dissimulation d'une violation d'un engagement international régulièrement ratifié ou approuvé par la France, d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un tel engagement, du droit de l'Union européenne, de la loi ou du règlement".
Exemple 1.2 (lutte contre la corruption et le trafic d’influence, article 17.II.2° de la loi Sapin 2 modifiée) :
Un DAP anticorruption mis en œuvre pour répondre aux exigences de l’article 17.II.2° de la loi Sapin 2 modifiée, vise à permettre le recueil des signalements émanant des "employés" de l’organisme concerné et relatifs à l'existence de conduites ou de situations contraires au code de conduite de la société et susceptibles de caractériser des faits de corruption ou de trafic d'influence.
Exemple 1.3 (devoir de vigilance) :
Un DAP prévu par l’article L. 225-102-4 du code de commerce, issu de la loi dite de "devoir de vigilance", aura pour finalité le recueil des signalements relatifs à l’existence ou à la réalisation des risques d’atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l'environnement, résultant des activités de la société et de celles des sociétés qu'elle contrôle au sens du II de l'article L. 233-16, directement ou indirectement, ainsi que des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, lorsque ces activités sont rattachées à cette relation.
Exemple 2 (codes éthiques) :
Un DAP mis en place sur une base volontaire par l’organisme, en dehors d’une obligation légale spécifique, pourrait par exemple avoir pour finalité le recueil de tout signalement d’un risque existant ou réalisé d’un comportement ou d’une situation contraire à une charte éthique de l’organisme, quel que soit l’auteur de l’alerte ou son lien avec l’organisme.