Nicolas-BZRD/DILA_OPENDATA_FR_2023 huggingface dataset:
La formation restreinte communique aux autorités de contrôle concernées le rapport et les informations utiles mentionnés au premier alinéa de l'article 27 de la loi du 6 janvier 1978 susvisée, au plus tard une semaine après la notification prévue au premier alinéa de l'article 40.
Les autorités de contrôle concernées sont informées de la date de la séance de la formation restreinte prévue à l'article 41 en même temps que le responsable du traitement ou le sous-traitant et reçoivent toute information utile, notamment les observations en défense du mis en cause. Elles sont mises en mesure d'assister à l'audition par le biais d'outils de visioconférence ou communication électronique permettant leur identification ou d'en prendre connaissance par le moyen d'un enregistrement. A défaut, un procès-verbal est dressé à son issue, dont elles peuvent prendre connaissance.
A réception d'un projet de mesure correctrice d'objet équivalent à celles définies au III de l'article 20 de la loi du 6 janvier susvisée, émis par une autorité de contrôle chef de file, le président de la formation restreinte, saisi par le président de la commission, peut soit réunir cette dernière en vue d'émettre, le cas échéant, des objections pertinentes et motivées, soit traiter le cas ou le confier à un membre de la formation restreinte désigné par lui.
Le responsable du traitement ou le sous-traitant est informé de la date de la séance de la formation restreinte au cours de laquelle est inscrite l'affaire le concernant et de la faculté qui lui est offerte d'y être entendu, lui-même ou son représentant, par tout moyen permettant d'attester la date de sa notification. Cette information doit lui parvenir au moins un mois avant la date de la séance au cours de laquelle l'affaire est examinée. En cas de réexamen ou de report de l'affaire lors d'une séance ultérieure, ce délai minimal peut être ramené à sept jours.
Lors de la séance, le rapporteur peut présenter des observations orales sur l'affaire. Lorsqu'il assiste à la séance, le responsable du traitement ou le sous-traitant et, le cas échéant, son conseil sont invités à présenter des observations orales à l'appui de leurs conclusions écrites. Le commissaire du Gouvernement est invité à donner son avis sur l'affaire. La formation restreinte peut entendre toute personne dont elle estime l'audition utile. Dans tous les cas, le responsable du traitement ou le sous-traitant et, le cas échéant, son conseil doivent pouvoir prendre la parole en dernier. Lorsque la formation restreinte s'estime insuffisamment éclairée, elle peut demander au rapporteur de poursuivre ses diligences.
Un agent des services de la commission, faisant office de secrétaire de séance, peut être désigné par le président de la formation restreinte. Il assiste au délibéré de la formation restreinte, sans y prendre part. Il relève de la seule autorité du président de la formation restreinte dans le cadre de ces fonctions.
Les traitements de données à caractère personnel dans le domaine de la santé mentionnés au premier alinéa de l'article 67 de la loi du 6 janvier 1978 susvisée ayant pour seule finalité de répondre, en cas de situation d'urgence, à une alerte sanitaire et d'en gérer les suites peuvent utiliser le numéro d'inscription au répertoire national d'identification des personnes physiques dans les conditions prévues au deuxième alinéa du même article 67 lorsqu'une telle utilisation constitue le seul moyen de collecter des données de santé à caractère personnel nécessaires pour faire face à l'urgence sanitaire.
Le numéro d'inscription au répertoire national d'identification des personnes physiques est collecté soit directement auprès des personnes concernées, soit indirectement auprès de leurs proches ou de toutes personnes morales habilitées à traiter ce numéro dans le cadre de leurs missions ou activités.
Sa transmission et sa conservation sur support électronique ou numérique font l'objet d'un chiffrement, conforme aux recommandations, référentiels ou aux règlements types adoptés par la Commission nationale de l'informatique et des libertés. Il est conservé pour la durée nécessaire à l'appariement de données.
Si les objections des autorités de contrôle concernées tendent à ce que soit prononcée une mesure prévue au titre du III de l'article 20 de la loi du 6 janvier 1978 susvisée en lieu et place de la mesure initialement proposée en application du II de l'article 20 de la même loi, le président de la commission, s'il décide de suivre ces objections, désigne sans tarder un rapporteur qui instruit l'affaire en tenant compte de ces objections dans les conditions prévues à l'article 40. La formation restreinte adopte une décision finale dans les conditions prévues à l'article 56.
Si le président de la commission n'entend pas suivre ces objections, il adresse au responsable de traitement ou au sous-traitant, avant de saisir le comité européen de la protection des données en application de l'article 65 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, toutes les informations utiles sur le projet de décision qu'il avait préparé ainsi que les objections formulées par les autorités de contrôle concernées. Le responsable de traitement ou le sous-traitant dispose d'un délai de quinze jours, renouvelable une fois, pour faire part de ses observations, qui sont transmises au comité lors de sa saisine.
Si la décision contraignante du comité implique l'adoption par la commission d'une mesure relevant du II de l'article 20, le président de la commission prononce la mise en demeure. Si la décision contraignante du comité implique l'adoption par la commission d'une mesure prévue par le III de l'article 20, le président de la commission saisit la formation restreinte dans les conditions prévues à l'article 39.
Concernant les données du système national des données de santé et de ses composantes, les personnes concernées sont informées de la réutilisation possible de ces données, préalablement rendues non directement identifiantes, à des fins de recherche, d'études ou d'évaluation dans les conditions mentionnées à l'article L. 1461-3 du code de la santé publique, ainsi que de leurs droits. Elles en sont informées par une mention figurant sur le site internet des établissements de santé, des établissements médico-sociaux, des organismes d'assurance maladie obligatoire ou des organismes d'assurance maladie complémentaire, et sur des supports permettant de la porter à la connaissance des personnes concernées, notamment des affiches dans les locaux ouverts au public ou des documents qui leur sont remis. Cette information est mise en œuvre par les directeurs des établissements de santé, des directeurs des établissements médico-sociaux et des directeurs des organismes d'assurance maladie obligatoire et complémentaire.
Lorsque les opérations de vérification nécessitent l'accès à des données médicales individuelles, dans les cas prévus au III de l'article 19 de la loi du 6 janvier 1978 susvisée, le préfet ou, selon le cas, le directeur général de l'agence régionale de santé dans le ressort territorial duquel doit avoir lieu le contrôle désigne, à la demande du président de la commission, un médecin inspecteur du travail ou un médecin chargé de requérir la communication de ces données ; le président de la commission peut également désigner un médecin inscrit sur une liste d'experts judiciaires. Le président de la commission définit les conditions d'exercice de la mission confiée au médecin selon les formes prescrites aux premier et deuxième alinéas de l'article 35.
Préalablement aux opérations de vérification requises, le médecin désigné atteste auprès du président de la commission qu'il répond aux conditions posées aux articles 16 à 19.
Le médecin présente en réponse à toute demande son ordre de mission.
Le médecin consigne dans un rapport les vérifications qu'il a faites sans faire état, en aucune manière, des données médicales individuelles auxquelles il a eu accès.
Le rapport est remis au président de la commission qui en adresse une copie au responsable du traitement ou du sous-traitant.
Les dérogations prévues au deuxième alinéa de l'article 78 de la loi du 6 janvier 1978 susvisée relatif aux traitements à des fins de recherche scientifique ou historique ou à des fins statistiques s'appliquent uniquement dans les cas où les droits prévus aux articles 15, 16, 18 et 21 du règlement (UE) 2016/679 du 27 avril 2016 susvisé risqueraient de rendre impossible ou d'entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités.
Les données issues de ces traitements conservées par le responsable du traitement ou son sous-traitant ne sont accessibles ou modifiables que par des personnes autorisées. Ces personnes respectent les règles de déontologie applicables à leurs secteurs d'activités. Les autorisations accordées par les responsables de traitement à ces personnes respectent les finalités spécifiques de l'alinéa précédent ainsi que les garanties prévues à l'alinéa suivant.
Ces données ne peuvent pas être diffusées sans avoir été préalablement anonymisées sauf si l'intérêt des tiers à cette diffusion prévaut sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. Pour les résultats de la recherche, cette diffusion doit être absolument nécessaire à sa présentation. Les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. La diffusion de données à caractère personnel figurant dans des documents consultés en application de l'article L. 213-3 du code du patrimoine ne peut intervenir qu'après autorisation de l'administration des archives, après accord de l'autorité dont émanent les documents et avis du comité du secret statistique institué par l'article 6 bis de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques en ce qui concerne les données couvertes par le secret en matière de statistiques.
Les agents de la commission et les personnes lui prêtant leur concours, appelés dans le cadre de l'exécution de leur mission, à prendre connaissance d'informations classifiées au titre de la protection du secret de défense nationale, doivent y être habilités par le Premier ministre dans les conditions fixées par le code de la défense.
Les agents de la commission et les personnes lui prêtant leur concours, appelés à effectuer les visites ou les vérifications portant sur les traitements relevant de l'article 31 de la loi du 6 janvier 1978 susvisée, doivent y être habilités par le Premier ministre, sur proposition du président de la commission, après une enquête administrative, dans les conditions prévues par l'article L. 114-1 du code de la sécurité intérieure, vérifiant que la moralité ou le comportement de ces personnes n'est pas incompatible avec l'exercice de leurs missions et la consultation de ces fichiers.
Conformément à l'article 37 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, les responsables du traitement ou les sous-traitants peuvent désigner un seul délégué à la protection des données qui exerce sa mission pour le compte de plusieurs d'entre eux.
Lorsque les collectivités territoriales, leurs groupements, les établissements publics locaux, et les personnes morales de droit privé gérant un service public désignent un seul délégué à la protection des données, une convention détermine les conditions dans lesquelles s'exerce la mutualisation. Chacune des parties à la mutualisation demeure responsable du traitement ou sous-traitant.
Lorsqu'en application des articles 24 à 28 de la loi du 6 janvier 1978 susvisée la commission procède à des vérifications, à la demande d'une autorité de contrôle d'un autre Etat membre de l'Union européenne, elle en informe le responsable du traitement ou le sous-traitant.
La commission informe également le responsable du traitement ou le sous-traitant que les informations recueillies ou détenues par elle sont susceptibles d'être communiquées à d'autres autorités de contrôle dans le cadre du mécanisme de contrôle de la cohérence prévu à la section 2 du chapitre VII du règlement (UE) 2016/679 du 27 avril 2016 susvisé, que le contrôle ait été effectué à la demande d'une autre autorité ou à sa seule initiative.
Sont autorisés à déroger au droit à la communication d'une violation de données, dans les conditions prévues au II de l'article 58 de la loi du 6 janvier 1978 susvisée :
1° Les traitements comportant des données à caractère personnel susceptibles de permettre, directement ou indirectement, d'identifier des personnes dont l'anonymat est protégé au titre de l'article 39 sexies de la loi du 29 juillet 1881 sur la liberté de la presse ;
2° Les traitements de données de gestion administrative, financière et opérationnelle ainsi que les traitements de données de santé pour lesquels la notification d'une divulgation ou d'un accès non autorisé est susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique au regard du volume des données concernées par la violation et des informations relatives à la vie privée qu'elles comportent telles que l'adresse ou la composition de la famille.
Les missions de contrôle sur place font l'objet d'un procès-verbal.
Le procès-verbal énonce la nature, le jour, l'heure et le lieu des vérifications ou des contrôles effectués. Il indique également l'objet de la mission, les membres de celle-ci présents, les personnes rencontrées, le cas échéant, leurs déclarations, les demandes formulées par les membres de la mission ainsi que les éventuelles difficultés rencontrées. L'inventaire des pièces et documents dont les personnes chargées du contrôle ont pris copie est annexé au procès-verbal.
Lorsque la visite n'a pu se dérouler, le procès-verbal mentionne les motifs qui ont empêché ou entravé son déroulement, ainsi que, le cas échéant, les motifs de l'opposition du responsable des lieux ou de son représentant.
Le procès-verbal est signé par les personnes chargées du contrôle qui y ont procédé et par le responsable des lieux ou par son représentant. En cas de refus ou d'absence de signature, mention en est portée au procès-verbal.
Le procès-verbal est notifié au responsable des lieux et au responsable des traitements et le cas échéant à son sous-traitant par lettre recommandée avec demande d'avis de réception. Lorsque seul le sous-traitant a fait l'objet d'un contrôle sur place, le procès-verbal lui est notifié, ainsi que, le cas échéant, au responsable du traitement et aux personnes mentionnées à l'alinéa précédent, selon les mêmes modalités.
Lorsque la commission décide un contrôle sur place, elle en informe préalablement par écrit le procureur de la République dans le ressort territorial duquel doit avoir lieu la visite ou la vérification.
Le procureur de la République est informé au plus tard vingt-quatre heures avant la date à laquelle doit avoir lieu le contrôle sur place. Cet avis précise la date, l'heure, le lieu et l'objet du contrôle.
Lorsque les membres ou agents font usage d'une identité d'emprunt au sens du III de l'article 19 de la loi du 6 janvier 1978 susvisée, pour contrôler des services de communication au public en ligne d'un responsable du traitement ou d'un sous-traitant, ils dressent un procès-verbal des opérations en ligne réalisées, des modalités de consultation et d'utilisation de ces services, des réponses obtenues et de leurs constatations. Les pages pertinentes du site ou toute autre information au regard des constatations effectuées y sont annexées. Ce procès-verbal est adressé au responsable du traitement ou au sous-traitant.
Le premier président de la cour d'appel connaît des recours contre le déroulement des opérations de visite autorisées par le juge des libertés et de la détention.
Le recours est formé par déclaration remise ou adressée par lettre recommandée avec demande d'avis de réception au greffe de la cour d'appel dans un délai de quinze jours à compter de la notification du procès-verbal de la visite. Ce recours n'est pas suspensif.
L'ordonnance du premier président de la cour d'appel est susceptible d'un pourvoi en cassation selon les règles prévues par les articles 974 et suivants du code de procédure civile. Le délai du pourvoi en cassation est de quinze jours.
L'ordonnance autorisant la visite peut faire l'objet d'un appel devant le premier président de la cour d'appel suivant les règles prévues par les articles 931 et suivants du code de procédure civile.
Cet appel est formé par déclaration remise ou adressée par lettre recommandée avec demande d'avis de réception au greffe de la cour d'appel dans un délai de quinze jours à compter de la notification de l'ordonnance. Cet appel n'est pas suspensif.
Le greffe du tribunal de grande instance transmet sans délai le dossier de l'affaire au greffe de la cour d'appel où les parties peuvent le consulter.
L'ordonnance du premier président de la cour d'appel est susceptible d'un pourvoi en cassation selon les règles prévues par les articles 974 et suivants du code de procédure civile.
Lorsqu'en application du III de l'article 19 de la loi du 6 janvier 1978 susvisée le président de la commission fait appel à un ou plusieurs experts, sa demande définit l'objet de l'expertise et fixe le délai de sa réalisation.
Préalablement aux opérations d'expertise, le ou les experts désignés attestent auprès du président de la commission qu'ils répondent aux conditions posées aux articles 16 à 19.
Les indemnités dues aux experts font, le cas échéant, l'objet d'une convention.
Le ou les experts informent le président de la commission de l'avancement des opérations d'expertise. Celles-ci sont menées contradictoirement.
Le rapport d'expertise est remis au président de la commission qui en adresse une copie au responsable du traitement ou au sous-traitant.
Lorsque le président de la commission saisit le juge des libertés et de la détention sur le fondement du II de l'article 19 de la loi du 6 janvier 1978 susvisée afin que celui-ci autorise la visite sur place, le juge statue dans un délai de quarante-huit heures.
Sans préjudice du troisième alinéa du II de cet article 19, l'ordonnance autorisant la visite sur place comporte l'adresse des lieux à visiter, le nom et la qualité du ou des agents habilités à procéder aux opérations de visite et de contrôle, le cas échéant le nom et la qualité du ou des agents ou membres des autorités de contrôle des Etats membres habilités à procéder aux mêmes opérations, ainsi que les heures auxquelles ils sont autorisés à se présenter.
L'ordonnance, exécutoire au seul vu de la minute, est notifiée sur place, au moment de la visite, au responsable des lieux ou à son représentant qui en reçoit copie intégrale contre récépissé ou émargement au procès-verbal de visite.
L'acte de notification comporte mention des voies et délais de recours contre l'ordonnance ayant autorisé la visite et contre le déroulement des opérations de vérification. Il mentionne également que le juge ayant autorisé la visite peut être saisi d'une demande de suspension ou d'arrêt de cette visite.
En l'absence du responsable des lieux ou de son représentant, l'ordonnance est notifiée, après la visite, par lettre recommandée avec demande d'avis de réception. A défaut de réception de la lettre recommandée, il est procédé à la signification de l'ordonnance par acte d'huissier de justice.
Le juge des libertés et de la détention peut, s'il l'estime utile, se rendre dans les locaux pendant l'intervention. A tout moment, il peut décider la suspension ou l'arrêt de la visite. La saisine du juge des libertés et de la détention aux fins de suspension ou d'arrêt des opérations de visite et de vérification n'a pas d'effet suspensif.
En application du premier alinéa du III de l'article 19 de la loi du 6 janvier 1978 susvisée, les agents habilités en application des articles 10 et 25 de cette même loi peuvent entendre toute personne susceptible de leur fournir tout renseignement ou toute justification utile pour l'accomplissement de leur mission.
Les agents habilités en application de l'article 10 susmentionné adressent la convocation, par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d'huissier, qui doit parvenir au moins huit jours avant la date de son audition.
La convocation rappelle à la personne convoquée qu'elle est en droit de se faire assister d'un conseil de son choix.
Un procès-verbal est dressé dans les conditions prévues à l'article 31. Lorsque l'intéressé ne se rend pas à l'audition, il en est fait mention dans un procès-verbal de carence établi par les personnes chargées du contrôle.
Lorsque la commission effectue un contrôle sur place, elle informe au plus tard lors de son arrivée sur place le responsable des lieux ou son représentant de l'objet des vérifications qu'elle compte entreprendre, de l'identité et de la qualité des personnes chargées du contrôle ainsi que, le cas échéant, de son droit d'opposition à la visite. Lorsque le responsable du traitement ou le sous-traitant n'est pas présent sur les lieux du contrôle, ces informations sont portées à sa connaissance dans les quinze jours suivant le contrôle.
Dans le cadre de leurs vérifications, les personnes chargées du contrôle présentent en réponse à toute demande leur ordre de mission et, le cas échéant, leur habilitation à procéder aux contrôles.
Le rapport prévu par l'article 22 de la loi du 6 janvier 1978 susvisée est notifié au responsable du traitement ou au sous-traitant par tout moyen permettant à la commission d'apporter la preuve de la date de cette notification. Il est également transmis à la formation restreinte.
Le responsable du traitement ou le sous-traitant dispose d'un délai d'un mois pour transmettre au rapporteur et à la formation restreinte ses observations écrites. La notification du rapport mentionne ce délai et précise que le responsable du traitement peut prendre connaissance et copie des pièces du dossier auprès des services de la commission et se faire assister ou représenter par tout conseil de son choix.
Le rapporteur peut répondre au responsable du traitement ou au sous-traitant dans les quinze jours suivant la réception des observations du mis en cause. Le responsable du traitement ou le sous-traitant dispose d'un nouveau délai de quinze jours pour, le cas échéant, produire des observations écrites. La formation restreinte est destinataire des courriers et pièces échangées en application du présent alinéa.
Lorsque les circonstances de l'espèce ou la complexité de l'affaire le justifient, le président de la formation restreinte peut décider, sur demande du rapporteur ou de l'organisme mis en cause, de prolonger, dans la limite d'un mois, les délais mentionnés aux deuxième et troisième alinéas. Lorsqu'une prolongation du délai est accordée par le président de la formation restreinte au rapporteur, elle est systématiquement octroyée au responsable de traitement ou au sous-traitant, qui en est informé.
Le responsable du traitement ou le sous-traitant est informé que passés les délais mentionnés aux deuxième, troisième et quatrième alinéas, sauf report de la clôture de l'instruction, l'instruction est close et ses observations écrites seront déclarées irrecevables par la formation restreinte.
A tout moment, le rapporteur peut décider de modifier son rapport, notamment, au vu d'éléments portés à sa connaissance par le responsable du traitement ou le sous-traitant. Il est alors fait application de la procédure prévue aux alinéas précédents. Si la modification intervient après la clôture de l'instruction, l'instruction est rouverte.
Les personnes accueillies dans les établissements ou les centres où s'exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d'un traitement de données à caractère personnel dans le domaine de la santé relevant de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 susvisée sont informées individuellement des mentions prescrites par le règlement (UE) 2016/679 du 27 avril 2016 susvisé par la remise d'un document ou par tout autre moyen approprié leur permettant de prendre utilement connaissance de ces mentions.
L'Institut national des données de santé peut adresser à la Commission nationale de l'informatique et des libertés des contributions en vue d'éventuelles recommandations de celle-ci relatives aux traitements visés au à la section 3 du chapitre 3 du titre II de la loi n° 78-17 du 6 janvier 1978 et mentionnées à l'article 8 de cette même loi.
Ces propositions sont rendues publiques. Elles peuvent s'appliquer à des catégories d'opérations pouvant constituer des étapes indépendantes de traitements automatisés.
Les dossiers de demande peuvent se référer aux recommandations publiées par la commission.
La personne qui entend s'opposer au traitement des données à caractère personnel dans le domaine de la santé la concernant peut exprimer son refus par tout moyen auprès soit du responsable du traitement, soit de l'établissement ou du professionnel de santé détenteur de ces données excepté dans le cas prévu au II de l'article R. 1461-9 du code de la santé publique.
Lorsque le responsable d'un traitement ou d'une catégorie de traitements similaires de données à caractère personnel a fait une déclaration de conformité à l'un des référentiels, l'un des règlements types ou à l'une des méthodologies de référence homologuées conformément à l'article 108, seule cette déclaration est envoyée à la commission qui en accuse réception. Le responsable des traitements tient à jour la liste des traitements entrant dans le cadre d'une déclaration de conformité. Pour les traitements qui ne sont pas enregistrés dans le répertoire public mentionné à l'article L. 1121-15 du code de la santé publique, les traitements sont enregistrés dans un répertoire public mis à disposition par le secrétariat unique.
La décision de sanction énonce les considérations de droit et de fait sur lesquels elle est fondée. Elle indique les voies et délais de recours.
La décision de sanction est notifiée à la personne concernée par tout moyen permettant d'attester la date de sa notification. Cette décision est communiquée au président de la commission.
Lorsque la formation restreinte décide de publier la décision de sanction, cette publication peut intervenir dès la notification de la décision de sanction à la personne concernée. La décision ainsi publiée indique qu'un recours est susceptible d'être exercé à son encontre devant le juge administratif.
Lorsqu'une sanction est susceptible d'être prononcée, le président de la commission désigne un rapporteur n'appartenant pas à la formation restreinte et en informe le responsable de traitement ou le sous-traitant mis en cause.
Le rapporteur procède à toutes diligences utiles avec le concours des services de la commission. Le responsable du traitement ou le sous-traitant peut être entendu si le rapporteur l'estime utile. L'audition du responsable du traitement ou du sous-traitant donne lieu à l'établissement d'un procès-verbal qu'il signe. En cas de refus de signer, il en est fait mention par le rapporteur. Les personnes entendues peuvent être assistées d'un conseil de leur choix. Le rapporteur peut entendre toute autre personne dont l'audition lui paraît utile.
Lorsque la formation restreinte décide d'assortir d'une astreinte sa décision d'injonction de mise en conformité, en application du 2° du III de l'article 20 ou du 6° du I de l'article 21 de la loi du 6 janvier 1978 susvisée, elle peut le faire par la même décision.
Le responsable de traitement ou le sous-traitant transmet à la formation restreinte, au plus tard à la date fixée dans la décision de cette dernière, les éléments attestant qu'il s'est conformé à l'injonction prononcée à son encontre.
En cas d'inexécution totale ou partielle ou d'exécution tardive, la formation restreinte procède à la liquidation de l'astreinte qu'elle avait prononcée. Le montant de l'astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le responsable de traitement ou le sous-traitant, de son comportement et des difficultés d'exécution qu'il a rencontrées, notamment s'il est établi que l'inexécution ou le retard dans l'exécution provient, en tout ou partie, d'une cause étrangère aux capacités de mise en conformité.
La décision prononçant la liquidation de l'astreinte est précédée d'une procédure écrite au cours de laquelle la formation restreinte porte à la connaissance du responsable du traitement ou du sous-traitant les motifs de la liquidation envisagée et son montant.
Le responsable du traitement ou le sous-traitant dispose d'un délai de quinze jours à compter de la date de notification des motifs de la liquidation et de son montant pour transmettre à la formation restreinte ses observations écrites. Ce délai est mentionné lors de la notification. Celle-ci a lieu par tout moyen.
Le rapporteur désigné dans le cadre de la procédure ayant conduit au prononcé de l'injonction est tenu informé par écrit de l'initiative de la formation restreinte.
Lorsque le président de la formation restreinte estime que les éléments d'explication fournis par le responsable de traitement ou le sous-traitant nécessitent des vérifications complémentaires, il peut demander au rapporteur d'intervenir à nouveau, dans les conditions prévues à l'article 39.
Sous réserve des dispositions qui suivent, les articles 39 à 43 du présent décret, à l'exception des troisième à cinquième alinéas de l'article 40, sont applicables à la procédure présidant aux sanctions prises en application des 1° à 7° du I de l'article 21 de la loi du 6 janvier 1978 susvisée.
Le responsable du traitement ou le sous-traitant dispose d'un délai de huit jours pour transmettre à la formation restreinte ses observations écrites.
La convocation du responsable du traitement ou le sous-traitant doit lui être parvenue au plus tard huit jours avant la date de son audition devant la formation restreinte.
Lorsqu'une personne interrogée dans le cadre des vérifications faites par la commission oppose l'un des secrets professionnels mentionnés au III de l'article 19 de la loi du 6 janvier 1978 susvisée, mention de cette opposition est portée au procès-verbal établi par les personnes chargées du contrôle. Il est alors également fait mention des dispositions législatives ou réglementaires auxquelles se réfère, le cas échéant, la personne interrogée ainsi que la nature des données qu'elle estime couvertes par ces dispositions.
Si les objections des autorités de contrôle concernées proposent de s'écarter du projet de décision mentionné à l'article 54 par la prise en compte d'une circonstance de fait nouvelle, l'ajout d'un manquement ou une aggravation de la nature de la mesure correctrice initialement proposée, la formation restreinte rouvre l'instruction et communique sans tarder au rapporteur ces objections afin qu'il complète son rapport et, le cas échéant, le modifie. Le responsable de traitement ou le sous-traitant dispose d'un délai de quinze jours, renouvelable une fois sur décision du président de la formation restreinte, pour faire part de ses observations. La formation restreinte délibère ensuite sur la prise en compte des objections.
Si la formation restreinte décide de rejeter les objections des autorités, elle saisit le comité européen de la protection des données en application de l'article 65 du règlement (UE) 2016/679 du 27 avril 2016 susvisé.
Le président du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé, siégeant à l'assemblée générale de l'Institut national des données de santé, peut avoir recours aux membres du comité d'expertise pour participer à la formalisation des référentiels et règlements types mentionnés au II de l'article 66 de la loi du 6 janvier 1978 susvisée ainsi que des méthodologies de référence mentionnées à l'article 73 de la même loi.
La Commission nationale de l'informatique et des libertés ou, par délégation, le président ou le vice-président délégué établit ces référentiels et règlements types et homologue ces méthodologies de référence. Ceux-ci sont publiés au Journal officiel de la République française.
Lorsque la recherche, l'étude ou l'évaluation nécessite l'examen des caractéristiques génétiques, le consentement de la personne concernée ou de ses représentants légaux doit être recueilli, préalablement au traitement, sous forme écrite. En cas d'impossibilité de le recueillir sous cette forme, le consentement exprès de la personne concernée est attesté par un tiers indépendant de l'organisme qui met en œuvre le traitement.
Lorsque la formation restreinte constate que la mise en œuvre d'un traitement de données, au nombre de ceux qui intéressent la sûreté de l'État ou la défense ou de ceux relevant du titre III de la loi du 6 janvier 1978 susvisée, entraîne une violation des droits et libertés mentionnés à l'article 1er de la même loi, elle informe, par tout moyen, le responsable du traitement ou le sous-traitant.
Le responsable du traitement ou le sous-traitant dispose d'un délai de huit jours pour transmettre à la formation restreinte ses observations écrites sur les manquements qui ont été constatés. Ce délai est porté à sa connaissance.
Le président de la formation restreinte informe, le cas échéant, le Premier ministre de la violation constatée.
La mise en demeure précise le ou les manquements aux obligations incombant au responsable du traitement ou au sous-traitant en vertu du règlement (UE) 2016/679 du 27 avril 2016 susvisé ou de la loi du 6 janvier 1978 susvisée qui ont été constatés par la commission.
La mise en demeure, décidée par le président de la commission, fixe le délai au terme duquel le responsable du traitement ou le sous-traitant est tenu d'avoir fait cesser le ou les manquements constatés. Ce délai ne peut, sauf urgence, être inférieur à dix jours. Il ne peut excéder six mois. Il court à compter du jour de la réception par le responsable du traitement de la mise en demeure. Lorsque la complexité de l'affaire le justifie, ce délai peut être renouvelé une fois dans la même limite.
La mise en demeure est adressée au responsable du traitement ou au sous-traitant par tout moyen permettant à la commission d'apporter la preuve de la date de cette notification. Elle est également transmise, à titre d'information, au commissaire du Gouvernement.
Les membres de la commission ont droit au remboursement des frais que nécessite l'exécution de leur mandat, dans les conditions prévues par le décret du 3 juillet 2006 susvisé.
Les personnels qui sont appelés à prêter leur concours à la commission ont droit, dans les conditions de l'alinéa précédent, au remboursement des frais engagés à l'occasion des missions exécutées pour le compte de la commission.
I. − Le président de la commission et le vice-président délégué peuvent, après en avoir informé la formation plénière de la commission, donner délégation au secrétaire général pour signer les seuls actes suivants :
1° Tous actes ayant pour objet :
a) La clôture d'une vérification diligentée en application du g du 2° du I de l'article 8 de la loi du 6 janvier 1978 susvisée ;
b) Conformément à la procédure de consultation préalable prévue à l'article 36 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, d'adresser un avis écrit au responsable de traitement ;
c) Le renouvellement du délai de mise en demeure en application de l'article 38 du présent décret ;
d) La désignation d'un expert ou d'un médecin en application des articles 35 et 36 du présent décret ;
e) La prolongation des délais mentionnés au 2 de l'article 36 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, à l'article 34 et au V de l'article 66 de la loi du 6 janvier 1978, ainsi qu'aux articles 9, 72, 73, 74, 125 et 130 du présent décret ;
f) La saisine de l'Institut national des données de santé en application de l'article 93 du présent décret ;
2° Tout acte ayant pour objet le constat du respect des conditions mentionnées au 4 de l'article 34 du règlement (UE) 2016/679 du 27 avril 2016 susvisé ;
3° Tous actes ayant pour objet la communication et la diffusion de documents administratifs ;
4° Tous actes ayant pour objet d'exercer les attributions mentionnées au d du 2° du I de l'article 8 de la loi du 6 janvier 1978 susvisée et au 9 de l'article 60 du règlement (UE) 2016/679 du 27 avril 2016 susvisé.
II. − Par délégation du président de la commission, le secrétaire général peut signer tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion de son budget ainsi que tous marchés et conventions nécessaires à son fonctionnement.
III. − Dans les conditions fixées par le président de la commission, le secrétaire général peut donner délégation aux agents d'encadrement placés sous son autorité à l'effet de signer, dans la limite de leurs attributions, tous actes pour lesquels il a lui-même reçu une délégation de signature en application du 2°, du 3° et du 4° du I et du II.
Les agents mentionnés à l'alinéa précédent peuvent eux-mêmes donner délégation pour signer tous actes relatifs aux affaires pour lesquelles ils ont eux-mêmes reçu délégation :
1° Aux agents de catégorie A placés sous leur autorité pour les actes mentionnés au 3° du I et au II ;
2° Aux agents chargés de l'instruction des affaires mentionnées au 4° du I.
IV. − Ces délégations s'exercent sous l'autorité du président et du vice-président délégué ainsi que, le cas échéant, sous l'autorité du supérieur hiérarchique immédiat des agents concernés.
V. − Ces délégations sont publiées sur le site internet de la Commission nationale de l'informatique et des libertés.
I. - La Commission nationale de l'informatique et des libertés, saisie dans le cadre du a du 4° du I de l'article 8 de la loi du 6 janvier 1978 susvisée, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande d'avis. Ce délai peut être prolongé d'un mois sur décision motivée du président de la commission.
En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie de projets de loi ou de décret ou de toute disposition de projet de loi ou de décret.
II. - Les avis destinés au président de l'Assemblée nationale, au président du Sénat, aux commissions parlementaires de l'Assemblée nationale et du Sénat ou aux présidents de groupe parlementaire peuvent être publiés par leur destinataire ou, avec l'accord de ce dernier, par la Commission nationale de l'informatique et des libertés.
III. - La commission, saisie dans le cadre du e du 2° du I de l'article 8 de la même loi, ou sur le fondement de toute autre disposition législative prévoyant qu'un acte réglementaire est pris après avis de la commission, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande. Ce délai peut être prolongé d'un mois sur décision motivée du président de la commission. En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie par ce dernier.
IV. - Lorsqu'il n'est pas rendu à l'expiration des délais prévus au I et au III, l'avis demandé à la commission est réputé donné.
Les délibérations de la commission sont prises à la majorité absolue des membres présents.
Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :
1° L'élection des vice-présidents, dont celle du vice-président délégué ;
2° L'adoption du règlement intérieur ;
3° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 31 et 32 de la loi du 6 janvier 1978 susvisée ;
4° Les lignes directrices, recommandations ou référentiels et les méthodologies de référence mentionnés au b, ainsi que les règlements types mentionnés au c du 2° du I de l'article 8 de la même loi ;
5° Les décisions élaborant ou approuvant les critères des référentiels de certification et d'agrément mentionnés au h du 2° du I de l'article 8 de la même loi ;
6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements de la section 3 du chapitre III du titre II de la même loi ;
7° Les clauses contractuelles types de protection des données mentionnées à l'article 28 et à l'article 46 du règlement (UE) 2016/679 susvisé ;
8° Les décisions et avis relatifs aux codes de conduite mentionnés au 5 de l'article 40 du même règlement ;
9° Les listes de traitement mentionnées aux 4 et 5 de l'article 35 du même règlement et au k du 2° du I de l'article 8 de la même loi.
Lorsque la Commission nationale de l'informatique et des libertés est saisie d'une demande d'approbation de règles d'entreprises contraignantes mentionnées à l'article 47 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, elle communique un projet de décision au comité européen de la protection des données mentionné à l'article 68 du même règlement dans un délai de six mois. Ce délai peut être prolongé de deux mois supplémentaires sur décision de son président. La commission informe le demandeur de cette transmission.
Après réception de l'avis du comité européen de la protection des données en vertu de l'article 64 du règlement (UE) 2016/679 du 27 avril 2016 susvisé ou, le cas échéant, après la mise en œuvre de la procédure de règlement des litiges par le comité en application de l'article 65 du même règlement, la commission se prononce sur la demande dans un délai d'un mois. Lorsque la commission ne s'est pas prononcée dans ce délai, la demande est réputée rejetée.
En application de l'article 40 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants soumettent un projet de code de conduite, une modification ou une prorogation d'un code existant à la Commission nationale de l'informatique et des libertés.
La commission approuve ce projet de code, cette modification ou cette prorogation dans un délai de quatre mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande est réputée rejetée.
Si la commission saisit, en application du 7 de l'article 40 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, le comité européen de la protection des données mentionné à l'article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu'à la notification de l'avis rendu par ce comité ou, le cas échéant, de la décision prise par la Commission européenne, en application des règles relatives au mécanisme de contrôle de la cohérence. La commission informe le demandeur de cette saisine et des suites de celle-ci.
La communication à la Commission nationale de l'informatique et des libertés des coordonnées prévues au 7 de l'article 37 du règlement (UE) 2016/679 du 27 avril 2016 susvisé comporte les mentions suivantes :
1° Les nom, prénom et coordonnées professionnelles du responsable du traitement ou du sous-traitant ou, le cas échéant, ceux de son représentant, ainsi que ceux du délégué à la protection des données. Pour les personnes morales responsables du traitement et les sous-traitants, leur dénomination, leur siège social ainsi que l'organe qui les représente légalement ;
2° Lorsque le délégué à la protection des données est une personne morale, les mêmes renseignements concernant le préposé que la personne morale a désigné pour exercer les missions de délégué.
Les coordonnées mentionnées au 1° et au 2° sont communiquées sans délai à la Commission nationale de l'informatique et des libertés par voie électronique ainsi que toutes modifications de celles-ci.
La dénomination et les coordonnées professionnelles de l'organisme ainsi que les moyens de contacter le délégué à la protection des données font l'objet d'une diffusion dans un format ouvert et aisément réutilisable par la Commission nationale de l'informatique et des libertés.
I. − Lorsque qu'elle envisage d'élaborer ou d'approuver les critères des référentiels de certification et d'agrément mentionnés au h du 2° du I de l'article 8 de la loi du 6 janvier 1978 susvisée, la Commission nationale de l'informatique et des libertés se prononce, en fonction notamment du domaine d'activité et de l'objet du référentiel de certification, sur les modalités de certification et d'agrément retenues parmi celles définies au présent article.
La commission peut décider de délivrer elle-même les certifications ou d'en laisser le soin à des organismes tiers.
Lorsque la certification est délivrée par des organismes tiers, la commission détermine, en fonction du domaine d'activité et de l'objet du référentiel de certification, si elle agrée directement ces organismes certificateurs ou si cet agrément peut être délivré par l'organisme national d'accréditation mentionné au b du 1 de l'article 43 du règlement (UE) 2016/679 du 27 avril 2016 susvisé. Dans ce dernier cas, la commission saisit l'organisme national d'accréditation qui réalise une étude de faisabilité de l'agrément des organismes certificateurs potentiellement concernés. Une convention fixe les modalités de coopération entre la commission et l'organisme national d'accréditation.
II. − Le contenu du dossier des demandes de certification et d'agrément présentées à la commission dans le cadre du I est fixé par la délibération arrêtant les critères de certification ou d'agrément.
La commission se prononce dans un délai de quatre mois à compter de la réception d'une demande complète. Ce délai peut être prolongé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande est réputée rejetée.
Si la commission saisit, en application du 3 de l'article 43 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, le comité européen de la protection des données mentionné à l'article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu'à notification de son avis ou, le cas échéant, de sa décision conformément au 6 de l'article 65 du règlement susvisé. La commission informe le demandeur de cette saisine et des suites de celle-ci.
Le contenu des dossiers de demandes présentées à l'organisme national d'accréditation dans le cadre du I, et les conditions de leur traitement, intégrant les exigences supplémentaires fixées, le cas échéant, par la commission, sont définies par le règlement d'accréditation de l'organisme national d'accréditation. Cette accréditation tient lieu d'agrément.
III. − Les certifications sont délivrées pour une durée précisée par chaque référentiel de certification et qui ne saurait être supérieure à trois ans.
Les organismes de certification sont agréés pour une durée de cinq ans maximum renouvelable dans des conditions fixées par le règlement intérieur de la commission ou, selon le cas, par le règlement d'accréditation de l'organisme national d'accréditation.
I. - Le dossier produit à l'appui d'une demande d'avis présentée en application des articles 31 ou 32 de la loi du 6 janvier 1978 susvisée comporte, outre les mentions prévues à l'article 33 de cette même loi, en annexe le projet d'acte autorisant le traitement, mentionné à l'article 35 de la même loi.
II. - Les demandes d'avis portant sur les traitements dont la liste est fixée en application du dernier alinéa du I de l'article 33 de la loi du 6 janvier 1978 susvisée comportent, au minimum, les mentions suivantes :
1° L'identité et l'adresse du responsable du traitement ;
2° La ou les finalités du traitement, s'il y a lieu, la dénomination du traitement ;
3° Le ou les services chargés de la mise en œuvre du traitement ;
4° Le service auprès duquel s'exerce le droit d'accès prévu aux articles 49, 105 et 119 de la loi du 6 janvier 1978 susvisée ainsi que les mesures prises pour faciliter l'exercice de ce droit ;
5° Les catégories de personnes qui, à raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;
6° Les destinataires ou catégories de destinataires habilités à recevoir communication des données ;
7° Le cas échéant, les interconnexions, les rapprochements ou toute autre forme de mise en relation avec d'autres traitements.