AgentPublic/cnil huggingface dataset:
L'accès indirect de ce dernier aux informations présentes dans le FIJAISV, nécessaires à la délivrance de l'attestation d'honorabilité, est strictement encadré par la combinaison des dispositions de :
l'article 16 de la loi du 8 avril 2024 qui, modifiant l'article 706-53-7 du CPP, autorise l'accès du président du conseil départemental aux informations du FIJAISV, via les administrations de l'Etat désignées par décret en Conseil d'Etat (en l'occurrence la direction générale de la cohésion sociale DGCS) ;
l'article 2 du projet de décret, qui ajoute la DGCS dans la liste des administrations de l'Etat autorisées à interroger directement le FIJAISV au titre du recrutement, de l'agrément ou du contrôle des professions ou activités impliquant un contact avec des mineurs.
La CNIL relève que, selon le ministère, le président du conseil départemental n'accède pas aux informations présentes dans le FIJAISV mais uniquement à l'information selon laquelle une personne ne fait l'objet ni d'une incapacité d'exercice, ni d'une condamnation non définitive ou d'une mise en examen.
II. - L'avis de la CNIL
Les dispositions de l'article 2 du projet de décret, qui ajoute la DGCS dans la liste des administrations de l'Etat autorisées à interroger directement le FIJAISV au titre du recrutement, de l'agrément ou du contrôle des professions ou activités impliquant un contact avec des mineurs, n'appellent pas d'observations de la part de la CNIL.
Néanmoins, les dispositions du projet de décret relatives à la protection des données à caractère personnel et à leur traitement appellent les observations suivantes compte tenu de leurs impacts forts en termes de droits des personnes concernées.
A. - Sur les données collectées
Selon l'article L. 133-6 du CASF, l'attestation d'honorabilité fait état, sous la forme de cases à cocher, de l'absence :
d'une des incapacités d'exercice mentionnées aux articles L. 133-6 et L. 421-3 du CASF ;
d'une condamnation non définitive ou d'une mise en examen devant être portée à la connaissance de l'employeur.
Cette attestation comprend des données relatives à des condamnations pénales et infractions au sens de l'article 10 du RGPD mais aussi l'indication d'une condamnation non définitive ou d'une mise en examen.
Seule une incapacité d'exercice entraine le refus de délivrance de l'attestation d'honorabilité. Toutefois, le III de l'article L. 133-6 prévoit la possibilité pour un directeur d'un établissement, d'un service ou d'un lieu de vie et d'accueil, lorsqu'il est informé de la condamnation non définitive ou de la mise en examen d'une personne y travaillant, de prononcer à l'encontre de la personne concernée une mesure de suspension temporaire d'activité jusqu'à la décision définitive de la juridiction compétente. Le texte ne prévoit rien dans le cadre d'un processus de recrutement.
Compte tenu des risques associés à l'usage du nouveau dispositif d'attestation d'honorabilité, la CNIL appelle l'attention du ministère sur la nécessité d'intégrer dans le projet de décret les garanties ci-dessous, qui auraient pour objet de renforcer les droits des personnes concernées. A cet égard, en vertu de l'article 10 du RGPD, le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ne peut notamment être effectué que si le traitement est autorisé par le droit d'un Etat membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées.
B. - Sur la durée de conservation des données
Le ministère envisage, à des fins probatoires, un dispositif de stockage des attestations d'honorabilité par les responsables d'établissements ou de services ainsi que par les présidents de conseil départemental au titre de l'agrément des assistants maternels ou familiaux. Les attestations seraient conservées pour une durée de trois ou de cinq ans, correspondant à la périodicité retenue pour le renouvellement du contrôle des antécédents judiciaires.
Or, cette durée de conservation n'est pas inscrite dans le projet de décret.
En tout état de cause, la CNIL s'interroge sur le besoin, pour les responsables d'établissement ou de service ainsi que les services des présidents de conseil départemental dans le cadre de l'agrément, de conserver les attestations d'honorabilité.
En effet, la vérification des antécédents judiciaires est assurée par les autorités habilitées via la plateforme nationale SI Honorabilité , qui conserve ces attestations dans son portail Demande Honorabilité pendant une période de douze mois après l'expiration de la dernière attestation.
De plus, le ministère a précisé que la durée de validité des attestations n'était que de six mois à compter de leur émission, la situation du demandeur étant susceptible d'évoluer. A cet égard, l'absence de conservation constitue une garantie forte pour les droits et libertés des personnes concernées, tout particulièrement dans l'hypothèse où une décision de non-lieu, de relaxe ou d'acquittement serait prononcée à l'égard de la personne concernée. La conservation d'éléments inexacts serait, dans une telle hypothèse, susceptible d'entrainer des conséquences graves pour cette dernière.
Dans ces conditions, la CNIL considère que la conservation d'un identifiant d'attestation ad hoc dans le fichier de gestion du personnel serait suffisante, en application du principe de minimisation du c du 1 de l'article 5 du RGPD.
Cet identifiant pourrait par exemple être généré via une fonction de hachage cryptographique à l'état de l'art muni d'un secret et se fonder sur l'identifiant interne de l'attestation dans le SI Honorabilité. Un tel identifiant ad hoc serait présenté à l'utilisateur lors de la vérification de l'attestation afin de permettre sa conservation. A défaut d'une telle solution, la seule indication confirmant la réalisation des vérifications liées à l'honorabilité dans le fichier de gestion du personnel, sous la forme oui/non , pourrait également être suffisante.
C. - Sur le droit à l'information
D'après le projet d'article R. 133-8 du CASF, avant de délivrer l'agrément nécessaire pour exercer la profession d'assistant maternel ou familial, le président du conseil départemental vérifie que le demandeur ainsi que les personnes âgées d'au moins treize ans vivant à son domicile, à l'exception de celles accueillies en application d'une mesure d'aide sociale à l'enfance, disposent d'une attestation d'honorabilité datant de moins de six mois.
La CNIL accueille favorablement le dispositif prévu par le ministère pour informer les personnes majeures ou mineures également concernées par le contrôle de leurs antécédents judiciaires dans ce contexte. En particulier, s'agissant des personnes mineures, même si la demande d'attestation est effectuée par la personne qui sollicite l'agrément, une mention spécifique indiquera au demandeur, sur le portail Demande Honorabilité , qu'il doit informer le mineur des modalités du traitement de ses données. La CNIL prend acte de l'engagement du ministère d'intégrer une mention d'information spécifique et adaptée à ce public sur le portail Demande Honorabilité de la plateforme et recommande qu'une telle information soit délivrée par les services concernés de l'administration.
De manière générale, l'information des personnes concernées (assistant maternel, assistant familial, personne âgée d'au moins treize ans vivant à leur domicile) devra être réalisée, préalablement au contrôle de leurs antécédents, de manière concise, transparente, compréhensible et aisément accessible conformément aux dispositions de l'article 12 du RGPD. A cet égard, les mentions d'information devront comporter l'ensemble des mentions prévues par les dispositions de l'article 13 du RGPD.
Enfin, compte tenu des risques pesant sur les droits des personnes concernées par le dispositif, et estimant nécessaire d'introduire des garanties particulières, le ministère confirme que la plateforme SI Honorabilité met à disposition de l'utilisateur de nombreuses informations sur le fonctionnement de l'attestation d'honorabilité et que les conséquences individuelles de la délivrance de l'attestation à l'employeur y sont précisées.
Les autres dispositions du projet de décret n'appellent pas d'observations.
La vice-présidente déléguée,
S. Lambremon
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable avec recommandations du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 décembre 2023.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des destinataires des données directement identifiantes.
Catégories particulières de données traitées (autres que données de santé)
La collecte des nom, prénom, ainsi que des coordonnées (postales et téléphoniques) est nécessaire pour contacter les participantes afin de leur adresser la note d’information.
Les données directement identifiantes doivent être traitées et transmises de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devront pouvoir accéder aux données directement identifiantes.
La collecte de l’adresse postale complète des participantes est également nécessaire afin :
de calculer la durée du trajet domicile-centre de soins ;
d’affecter à chaque domicile un numéro IRIS ;
de prendre en compte les spécificités de la topographie de l’île.
Enfin, des enregistrements audios permettant l’identification des personnes se prêtant à la recherche seront réalisés dans le cadre de cette étude. Le consentement des participantes pour la réalisation des enregistrements sera recueilli.
Information et droits des personnes
Toutes les participantes recevront une note d’information individuelle qui devra comporter l’ensemble des mentions prévues par le Règlement général sur la protection des données.
Une note d’information sera également diffusée dans les centres participants et sur le site web du responsable de traitement.
Durées de conservation en base active et en archivage
Les données administratives d’identification (nom, prénom, coordonnées téléphoniques et postales) seront détruites à la fin du suivi des participantes ou après la réalisation de l’entretien, le cas échéant.
Les enregistrements audios seront détruits après leur retranscription.
Autres données :
Base active : quatre ans
Archivage : quinze ans.
Réutilisation des données
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
 
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande de modification d’une autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 23 mai 2024.
Modification substantielle du traitement de données
La modification envisagée porte sur l’allongement de la durée d’accès aux données du SNDS de douze mois supplémentaires.
 
 
AUTORISE, la société ROCHE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
 
Responsable de traitement
Agence Nationale de Santé Publique – Santé publique France
Avis du comité
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024.
Points de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées et des modalités d’information des personnes concernées.
Réutilisation des données d’une base existante
Les données de l’échantillon démographique permanent Santé "EDP-Santé" (demande d’autorisation n° 918335) collectées entre 2008 et 2021 et mis en œuvre par la direction de la recherche, des études, de l'évaluation et des statistiques (DREES), sous réserve qu’elles soient diffusables par le Centre d’accès sécurisé aux données (CASD), seront réutilisées dans le cadre de cette étude.
Utilisation de données issues du SNDS historique
Modalités de consultation : CASD.
Information et droits des personnes
En application de l'article 69 de la loi informatique et libertés et de l’article 14-5-b) du Règlement général sur la protection des données. (RGPD), l'obligation d'information individuelle de la personne concernée peut faire l'objet d'exceptions, notamment dans l'hypothèse où la fourniture d'une telle information se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement. En pareils cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées seront mises en œuvre, notamment par la diffusion sur le site web du responsable de traitement et de la DREES d’une information relative au projet de recherche qui devra comporter l’ensemble des mentions prévues par le RGPD.
Durée d’accès
Six ans et six mois à compter de la mise à disposition des données par le CASD.
Transparence du traitement
Ce traitement devra être enregistré dans le répertoire public mis à disposition par la Plateforme des données de santé.
 
AUTORISE l’AGENCE NATIONALE DE SANTÉ PUBLIQUE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité 
Avis favorable du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé du 14 mars 2024.
Point de non-conformité à la méthodologie de référence
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-004, à l'exception de la nature des données traitées.
Réutilisation des données d’une base existante 
Les données de la base de données publique Cartosanté seront réutilisées dans le cadre de la présente étude.
Utilisation de données issues du SNDS historique 
Composantes concernées : PMSI et CépiDc.
Années concernées : 2004 à 2023, sous réserve qu’elles soient diffusables par la CNAM.
Modalités de consultation : portail de la CNAM.
 
Les données traitées étant issues de bases composant le SNDS, l’ensemble des dispositions législatives et réglementaires relatives au SNDS est applicable en l’espèce (articles L. 1461-1 à L. 1461-7 du code de la santé publique), notamment :
l’interdiction d’utiliser ces données pour les finalités décrites à l’article L. 1461-1 V du code la santé publique ;
le respect du référentiel de sécurité applicable au SNDS.
Information et droits des personnes
Conformément aux dispositions de l’article 14 du RGPD, dans l’hypothèse où la fourniture d'une information individuelle se révélerait impossible, exigerait des efforts disproportionnés ou compromettrait gravement la réalisation des objectifs du traitement, des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de protéger les droits et libertés, ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.
En l'espèce, il sera fait exception au principe d'information individuelle des personnes et des mesures appropriées devront être mises en œuvre par le responsable de traitement afin de rendre l’information publiquement disponible concernant la réalisation de cette étude. Le traitement sera enregistré au sein du portail de transparence de la Plateforme des données de santé.
Une note d’information comportant l’ensemble des mentions prévues par le RGPD sera rendue publique sur le site web du responsable de traitement.
Durée d’accès
Trois ans à compter de la mise à disposition des données.
 
AUTORISE la MAISON DE SANTE PLURIPROFESSIONNELLE UNIVERSITAIRE PINS-JUSTARET à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT-BREAUD
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du Comité de protection des personnes Sud Est III du 21 novembre 2023.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-001, à l'exception des modalités d’information des personnes concernées.
Information et droits des personnes
S’agissant des modalités d’information des patients en état de recevoir l’information :
Les participants recevront une note d’information individuelle comportant l’ensemble des mentions prévues par le Règlement général sur la protection des données.
S’agissant des modalités d’information en cas d’inclusion en situation d’urgence : 
Dans l’hypothèse où les personnes ne seraient pas en état de recevoir l’information, celle-ci sera délivrée, dès que possible, à la personne de confiance au sens de l’article L. 1111-6 du code de la santé publique ou, à défaut à la famille ou aux proches. Dès lors que leur état de santé le permettra, les personnes concernées seront informées de l’étude et de leurs droits.
Dans l’hypothèse où un patient décéderait avant que l’information ait pu être délivrée à la personne de confiance ou, à la famille ou aux proches, une note d’information spécifique leur sera remise ultérieurement afin de leur permettre, de s'opposer à l'utilisation des données concernant le patient dans le cadre de cette recherche, en application des dispositions de l’article L. 1122-1-3 du code de la santé publique.
Transferts hors de l’Union européenne
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Durées de conservation en base active et en archivage 
Base active : cinq ans
Archivage : quinze ans
Réutilisation des données 
Toute nouvelle étude qui serait mise en œuvre à partir des données recueillies devra faire l’objet de formalités auprès de la Commission.
 
AUTORISE, l’H
ÔPITAL UNIVERSITAIRE DE B
ÂLE à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT-BREAUD