AgentPublic/cnil huggingface dataset:
de IQVIA Operations France par voie postale ou électronique.
 
Une demande d’exercice des droits réalisée sur l’un des deux entrepôts (EMR ou HEH) sera effective sur chacune de ces deux bases.
 
Une procédure opérationnelle sécurisée doit être mise en place afin d’assurer la levée du pseudonymat et la bonne ré-identification des personnes concernées, dans le respect de la confidentialité des données traitées. En particulier, les droits devront pouvoir être exercés auprès des médecins alimentant les entrepôts EMR et HEH et ce, sur l’ensemble des données qu’ils contiennent, en mobilisant la chaîne de pseudonymisation correspondante. 
 
En cas d’exercice du droit d’opposition, les données de la personne concernée n’alimenteront pas l’entrepôt et seront supprimées dans un délai maximum d’un mois à compter de la réception de la demande d’exercice des droits.
 
Sur les transferts de données :
La présente décision ne vaut pas autorisation de transfert de données en dehors de l’Union européenne vers un pays ne présentant pas un niveau de protection adéquat.
Sur la sécurité des données et la traçabilité des actions :
Le responsable de traitement a réalisé et transmis à l’appui de sa demande d’autorisation une analyse d’impact relative à la protection des données spécifique à l’entrepôt HEH, ainsi qu’une analyse de risques sur la sécurité des systèmes d’information. Le dossier indique que le traitement envisagé est conforme aux dispositions du référentiel de sécurité applicable au SNDS prévu par l'arrêté du 6 mai 2024.
Les données provenant de l’entrepôt EMR et les données correspondantes provenant du SNDS seront stockées chez l’hébergeur, isolément du réseau IQVIA Opérations France, dans deux enclaves séparées sans accès simultané sauf pour les programmes d’alimentation des espaces projet. Les accès à l’entrepôt et aux espaces projets seront protégés par une authentification multifacteur sur un bastion opéré par l’infogéreur. Les sessions utilisateurs des espaces projets feront l’objet d’un enregistrement vidéo par le bastion et seront consultables en cas de litige. Les traces d’accès et les vidéos de sessions seront conservées par l’infogéreur et signées électroniquement pour assurer leur intégrité.
Une homologation de la bulle sécurisée a été réalisée par l’autorité d’homologation le 30 septembre 2024, conformément au référentiel de sécurité applicable au SNDS prévu par l'arrêté du 6 mai 2024. Aucun écart avec les exigences de ce référentiel n’a été relevé par le responsable de traitement, à l’exception de l’audit interne, prévu dans les 12 mois suivant l’homologation ; la CNIL recommande qu’il soit réalisé avant le versement des données dans l’entrepôt HEH. La décision d’homologation n’est valable que jusqu’au 30 septembre 2025 et devra être renouvelée avant cette date, puis à chaque échéance.
Les mesures de sécurité planifiées ou mises en place dans l’entrepôt HEH ont également été comparées avec les exigences de sécurité mentionnées dans le référentiel "entrepôts de données de santé". Aucun écart avec les exigences de sécurité de ce référentiel n’a été relevé par le responsable de traitement. La conformité à l’exigence SEC-JOU-3 repose sur "une solution d'examen des logs [qui] sera développée pour détecter les comportements "suspects”" : celle-ci devra être articulée avec des procédures formalisées de surveillance proactive des traces et de levée et de gestion des alertes.
Les mesures de sécurité décrites dans le dossier, qui devront être opérationnelles lors de la mise en œuvre du traitement, répondent aux exigences prévues par les articles 5.1.f) et 32 du RGPD, compte tenu des risques identifiés par le responsable de traitement. Il appartiendra à ce dernier de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures.
 
Sur la conservation des données :
 
Les données seront conservées pendant la durée de l’autorisation. Au-delà, elles seront anonymisées ou supprimées, sauf disposition contraire d’une nouvelle autorisation.
 
Les traces fonctionnelles et techniques devront être conservées au maximum pendant un an.
 
Ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e) du RGPD.
 
Observations complémentaires :
 
Dans l’hypothèse où la société IQVIA Opérations France souhaiterait poursuivre la mise en œuvre de ce traitement à l’issue de la durée de l’autorisation, le dossier de renouvellement de demande d’autorisation devra comporter un bilan, comprenant notamment :
 
l’adéquation des objectifs de chaque étude aux finalités de l’entrepôt "HEH" ;
la liste des projets réalisées ou en cours de réalisation ;
une synthèse des demandes de mise à disposition des données ;
le fonctionnement de l’entrepôt ;
la liste exhaustive des habilitations associées à l’entrepôt HEH pour le personnel de la société IQVIA Opérations France et ses filiales ;
les modalités d’information déployées afin d’informer collectivement et individuellement l’ensemble des personnes concernées par ce traitement ;
la démonstration de la prise en compte effective des demandes d’exercice des droits.
 
AUTORISE, dans ces conditions, la société IQVIA OPERATIONS FRANCE à mettre en œuvre le traitement décrit ci-dessus durant la validité de l’autorisation accordée par la délibération n° 2021-015 du 4 février 2021, soit jusqu’au 8 février 2031.
 
 
 
La présidente,
 
 
 
M.-L. Denis
N° de demande d'avis : 25020214
Thématiques : contrôle des antécédents judiciaires, bulletin n° 2 du casier judiciaire national (CJN), fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAISV), SI Honorabilité
Organisme(s) à l'origine de la saisine : Ministère de la santé, des familles, de l'autonomie et des personnes handicapées
Fondement de la saisine :
Article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
L'essentiel :
L'enregistrement des informations résultant de l'interrogation du fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes et de la consultation du bulletin n° 2 du casier judiciaire national à des fins de contrôle de l'honorabilité des personnes intervenant dans le champ de l'enfance handicapée, des adultes handicapés et des personnes âgées est pertinent, adéquat et non excessif au regard des finalités poursuivies par le traitement.
La CNIL constate que la rédaction de l'article L. 133-6 du code de l'action sociale et des familles n'autorise pas l'extension du contrôle de l'honorabilité aux personnes qui interviennent dans les centres de vie intime, affective et sexuelle.
La durée de conservation des B2 par la direction générale de la cohésion sociale est nécessaire à l'objectif poursuivi. Ces documents devront être conservés et détruits dans des conditions assurant la confidentialité et l'intégrité des données.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 31 ;
Vu le code de procédure pénale, notamment ses articles 706-53-7 et 776 ;
Vu le code de l'action sociale et des familles, notamment son article L. 133-6 ;
Sur proposition de M. Philippe Latombe, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. La saisine
A. Le contexte
L'article L. 133-6 du code de l'action sociale et des familles (CASF) interdit à toute personne ayant définitivement été condamnée pour un crime ou certains délits d'intervenir, à quelque titre que ce soit, dans un établissement, service ou lieu de vie et d'accueil régi par le CASF, un établissement ou service accueillant des enfants de moins de six ans ou un service à la personne.
Les incapacités sont contrôlées, d'une part, par la délivrance du bulletin n° 2 (B2) du casier judiciaire national (CJN) et, d'autre part, par l'accès aux informations contenues dans le fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAISV), dans les conditions prévues respectivement aux articles 776 et 706-53-7 du code de procédure pénale (CPP).
Lorsque la personne ne fait pas l'objet d'une inscription entrainant une incapacité, l'autorité chargée du contrôle peut lui délivrer une attestation à communiquer, le cas échéant, à son employeur, au directeur de l'établissement, du service ou du lieu de vie et d'accueil, ou à l'autorité lui délivrant l'agrément. Le contrôle s'effectue en amont de l'exercice de l'activité puis à intervalles réguliers.
L'attestation est générée à partir du traitement de données à caractère personnel "SI Honorabilité" (dénommé plateforme nationale "SI Honorabilité"), encadré par l'arrêté du 31 mars 2021 modifié pris après avis de la CNIL (CNIL, SP, 26 janvier 2021, avis sur projet d'arrêté, SI Honorabilité, n° 2021-012, publié et CNIL, SP, 23 mai 2024, avis sur projet d'arrêté, SI Honorabilité, n° 2024-039, non publié).
Le "SI Honorabilité" est constitué de trois portails distincts et cloisonnés :
- le portail "SI Dépose", accessible via internet, qui collecte et stocke les données nécessaires à l'interrogation du FIJAISV, du CJN, et le cas échéant, de la base des cadres interdits lorsqu'elles sont déposées par les structures ;
- le portail "Demande honorabilité", accessible via internet, qui permet :
aux personnes concernées soumises au contrôle de l'honorabilité, de demander directement à l'autorité de contrôle une attestation d'honorabilité ;
de collecter et stocker les données nécessaires à l'interrogation du FIJAISV et du CJN (données d'identité) ;
à l'autorité de contrôle, de délivrer l'attestation d'honorabilité.
- le portail "SI Retour" qui :
consulte, sans les conserver, les données relatives au contrôle du FIJAISV et du CJN collectées par les traitements dénommés "système d'information relatif aux accueils de mineurs" et "télédéclaration des éducateurs sportifs" ;
gère et, le cas échéant, consulte la base des cadres interdits ;
stocke les traits d'identité des personnes concernées, les identifiants internes, les données provenant des échanges avec les interfaces et serveurs du ministère de la justice relatifs à l'interrogation du FIJAISV et du CJN (codes retours).
Les seules données relatives à l'interrogation du CJN enregistrées dans le "SI Retour" sont :
- soit la mention de l'indication "0" lorsque le B2 porte la mention "néant" ;
- soit la mention de l'indication "1" lorsqu'un courrier a été envoyé au service compétent afin de l'informer soit que le B2 contient une inscription ou information établissant l'existence d'une condamnation incompatible avec la profession, soit de demander des renseignements complémentaires sur l'identité de la personne contrôlée.
Les seules données relatives à l'interrogation du FIJAISV enregistrées dans le "SI Retour" sont :
- soit la mention de l'indication "C" qui signifie "à contrôler" et qui nécessite une consultation manuelle du FIJAISV par les personnes habilitées afin de vérifier qu'aucune mention incompatible avec la profession n'y est inscrite ;
- soit la mention de l'indication "AIA" qui signifie que la personne n'a pu être identifiée au RNIPP et qu'un courrier demandant des renseignements complémentaires sur l'identité de la personne contrôlée a été envoyé.
L'attestation d'honorabilité comprend des données relatives à des condamnations pénales, infractions ou mesures de sûreté connexes, dont le traitement est autorisé par l'article L. 133-6 du CASF, en application de l'article 10 du RGPD.
A ce jour, le "SI Honorabilité" est mis en œuvre pour les personnes exerçant auprès de mineurs dans les champs du sport, de la petite enfance et de la protection de l'enfance, de la santé et du médico-social.
B. L'objet de la saisine
Le projet de décret soumis pour avis à la CNIL modifie les articles R. 53-8-24 et R. 79 du CPP afin d'étendre ces vérifications à l'exercice d'emplois impliquant un contact habituel avec des majeurs vulnérables du fait de leur âge ou de leur handicap.
La CNIL est concomitamment saisie pour avis sur un projet d'arrêté modifiant l'arrêté du 31 mars 2021 portant création d'un traitement automatisé de données à caractère personnel dénommé "SI Honorabilité" (CNIL, SP, 19 février 2026, avis sur projet d'arrêté, SI Honorabilité, n° 2026-016, publié). L'arrêté met en cohérence le SI au regard de cette évolution, notamment en autorisant la DGCS à y accéder en sa qualité d'autorité chargée du contrôle.
II. L'avis de la CNIL
A. Sur les finalités
L'article 3 du projet de décret étend l'interrogation du FIJAISV (1°) et la délivrance du B2 (2°) pour le contrôle de l'activité de toute personne dont l'activité ou la profession implique un contact avec des majeurs vulnérables du fait de leur âge ou de leur handicap.
S'agissant du FIJAISV, l'article 706-53-7 du CPP autorise l'accès aux informations qu'il contient aux administrations de l'Etat "pour le contrôle de l'exercice (…) b) des activités ou des professions, dont la liste est établie par décret en Conseil d'Etat, impliquant un contact avec des majeurs en situation de vulnérabilité du fait de leur âge ou de leur handicap, au sens de l'article L. 114 du code de l'action sociale et des familles".
S'agissant du B2, l'article 776 du CPP autorise sa délivrance, nécessaire au contrôle d'honorabilité, "aux administrations ou organismes chargés par la loi ou le règlement du contrôle de l'exercice d'une activité professionnelle ou sociale lorsque cet exercice fait l'objet de restrictions expressément fondées sur l'existence de condamnations pénales ou de sanctions disciplinaires".
Aussi, la CNIL considère que l'extension du périmètre du contrôle de l'honorabilité est pertinente, adéquate et non excessive au regard des finalités poursuivies par le traitement.
B. Sur les catégories de personnes concernées
Le projet d'arrêté concomitamment soumis pour avis à la CNIL encadre les trois finalités du "SI Honorabilité", respectivement le contrôle des intervenants auprès de mineurs dans le champ du sport (1°), de la santé (2°) et de la jeunesse et du médico-social (3°).
A ce titre, dans le secteur médico-social, l'arrêté prévoit que seules les personnes mentionnées à l'article R. 133-1 du CASF et dont les incapacités sont prévues à l'article L. 133-6 peuvent faire l'objet d'un contrôle par le "SI Honorabilité".
A cet égard, l'article L. 133-6 encadre uniquement les incapacités des personnes intervenant :
- dans un établissement, service ou lieu de vie et d'accueil régi par le CASF ;
- dans un établissement ou service accueillant des enfants de moins de six ans au sens de l'article L. 2324-1 du code de la santé publique ; et
- dans un service à la personne au sens de l'article L. 7231-1 du code du travail.
Or, le projet de décret ajoute les centres de vie intime, affective et sexuelle à la liste des organismes dont les intervenants font l'objet d'un contrôle, en modifiant l'article R. 133-1 du CASF. Toutefois, ces centres, qui sont encadrés par l'instruction n° DGCS/SD3B/2020/178 du 15 octobre 2020 relative à la diffusion du cahier des charges des centres ressources régionaux "vie intime, affective, sexuelle et de soutien à la parentalité des personnes en situation de handicap", ne sont pas visés par les incapacités prévues à l'article L. 133-6.
Dès lors, la CNIL estime que la lettre de l'article L. 133-6 ne parait pas permettre le contrôle de l'honorabilité des personnes qui interviennent dans les centres de vie intime, affective et sexuelle.
C. Sur les durées de conservation
L'administration de l'Etat qui sera chargée de la consultation du B2 pour le contrôle de l'exercice d'emplois impliquant un contact habituel avec des majeurs vulnérables du fait de leur âge ou de leur handicap est la direction générale de la cohésion sociale (DGCS).
La CNIL relève que la DGCS conservera les B2 reçus par courrier postal pendant deux mois, correspondant aux délais d'épuisement des voies de recours administratifs. Elle rappelle que les bulletins comportent des données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes, qui sont particulièrement protégées par la loi eu égard aux risques pour les droits et libertés des personnes concernées.
Aussi, si leur durée de conservation apparaît adaptée, la CNIL appelle l'attention du ministère sur les conditions de conservation et de destruction des B2 qui devront assurer la confidentialité et l'intégrité des données.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
N° de demande d'avis : 25014431
Thématiques : désinsertion professionnelle, prévention de la santé au travail, arrêt de travail
Organisme(s) à l'origine de la saisine : Ministère du travail, de la santé, des solidarités et des familles
Fondement de la saisine :
Article L. 315-4 du code de la sécurité sociale
L'essentiel :
Les services de prévention et de santé au travail (SPST) et la Caisse nationale de l'assurance maladie (CNAM) sont autorisés à échanger des données à caractère personnel relatives aux salariés présentant un risque de désinsertion professionnelle, s'ils y consentent.
La CNIL invite le ministère à rappeler aux responsables des traitements que les modalités de partage des données à caractère personnel doivent assurer leur stricte confidentialité, notamment concernant la gestion des habilitations et la traçabilité des accès.
La CNIL accueille favorablement le projet de notice d'information qui sera élaborée conjointement par le ministère, avec la CNAM et les SPST, et mise à disposition des CPAM afin d'assurer la bonne délivrance de l'information et la liberté du consentement des salariés.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés") ;
Vu la loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail ;
Sur proposition de Mme Aminata Niakate, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. La saisine
A. Le contexte
Un risque de désinsertion professionnelle survient lorsque l'état de santé d'un travailleur restreint son aptitude professionnelle à rester en poste ou à réintégrer son poste, ou un autre poste au sein du même organisme, suite à un arrêt de travail.
Les services de prévention et de santé au travail (SPST) ont pour mission la prévention de la désinsertion professionnelle en application de l'article L. 4622-2 du code du travail. A ce titre, ils sont notamment chargés d'identifier les situations individuelles et de proposer, en lien avec l'employeur et le travailleur, les mesures individuelles d'aménagement du poste et des conditions de travail.
La Caisse nationale de l'assurance maladie (CNAM) est également chargée, en vertu des missions qui lui sont dévolues par l'article L. 221-1 du code de la sécurité sociale, de "promouvoir la prévention de la désinsertion professionnelle afin de favoriser le maintien dans l'emploi de ses ressortissants dont l'état de santé est dégradé du fait d'un accident ou d'une maladie, d'origine professionnelle ou non". Elle peut proposer à ce titre des dispositifs pour accompagner les salariés.
La loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail instaure des échanges de données à caractère personnel relatives aux salariés présentant un risque de désinsertion professionnelle, s'ils y consentent, entre la CNAM et les SPST interentreprises et autonomes. Deux flux d'information sont mis en œuvre :
- flux aller : les services du contrôle médical des CPAM transmettent aux SPST les informations relatives aux arrêts de travail des salariés présentant un risque de désinsertion professionnelle, à la condition que ces derniers y consentent ; et
- flux retour : les SPST transmettent aux services du contrôle médical des CPAM, avec l'accord des salariés, les informations relatives au poste de travail et aux conditions de travail.
B. L'objet de la saisine
La CNIL a été saisie pour avis sur un projet de décret en Conseil d'Etat encadrant le flux aller ainsi qu'un projet de décret simple encadrant les deux flux.
La présente délibération concerne le projet de décret en Conseil d'Etat relatif à la transmission d'informations du service du contrôle médical de la CNAM aux services de prévention et de santé au travail prévue à l'article L. 315-4 du code de la sécurité sociale (flux aller).
La transmission de données à caractère personnel entre le service du contrôle médical et le SPST a pour finalités :
- d'identifier plus rapidement les salariés en risque de désinsertion professionnelle afin d'améliorer leur accompagnement ; et
- de renforcer et améliorer la coordination des SPST et des CPAM et des mesures proposées par chacun.
La CNAM et les SPST sont chacun responsables des traitements à partir desquels sont échangées les données, qu'ils mettent en œuvre sur le fondement de leur missions respectives d'intérêt public.
Dans l'attente de la mise en service du système d'information dédié à la transmission de ces informations - envisagée, à ce stade des travaux, pour 2027 - le dispositif mis en œuvre s'appuie sur une transmission des informations par messagerie sécurisée. Le système d'information cible sera encadré par de nouveaux textes règlementaires pris après avis de la CNIL.
II. L'avis de la CNIL
A. Sur l'accès aux données
Les données à caractère personnel seront transmises au moyen d'une messagerie de santé sécurisée répondant aux conditions prévues à l'article L. 1470-5 du code de la santé publique. Les messageries peuvent être nominatives ou partagées entre les professionnels d'une même structure.
Dès lors, la CNIL invite le ministère à rappeler aux responsables des traitements que les modalités de partage des données à caractère personnel doivent assurer leur stricte confidentialité, notamment l'habilitation spécifique des agents autorisés à consulter les données transmises pour l'accomplissement de leurs missions, ainsi que la traçabilité des accès. Ces mesures de sécurité sont d'autant plus importantes que les données transmises comportent des données relatives à la santé, données sensibles et nécessitant par conséquent une vigilance particulière.
B. Sur l'information des personnes
En application de l'article 19 de loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail, le projet de décret prévoit que la transmission des données à caractère personnel s'effectuera sous réserve de l'accord de la personne concernée, recueilli par le service du contrôle médical.