Nicolas-BZRD/DILA_OPENDATA_FR_2023 huggingface dataset:
Les délibérations de la commission sont prises à la majorité absolue des membres présents. 
Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes : 
1° L'élection du président et des vice-présidents et la désignation du vice-président délégué ; 
2° L'adoption du règlement intérieur ; 
3° Les autorisations délivrées par la commission lorsqu'elle est saisie de la création de traitements mentionnés à l'article 25 de la loi du 6 janvier 1978 susvisée ; 
4° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la même loi ; 
5° Les décisions prises en vertu du pouvoir réglementaire dont dispose la commission ainsi que celles prises en application du b du 2° de l'article 11 de la même loi ; 
6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements mentionnés à l'article 53 de la même loi.
Pour la mise à disposition des jeux de données agrégées ou des échantillons mentionnés au V de l'article 54 de la loi du 6 janvier 1978 susvisée, les demandes d'homologation des conditions de cette mise à disposition sont transmises à la commission accompagnées d'un avis du comité d'expertise. La commission se prononce dans le délai de trois mois. Elle motive sa décision en cas de refus.
Lorsque le responsable d'un traitement ou d'une catégorie de traitements similaires de données à caractère personnel a pris un engagement de conformité à l'une des méthodologies de référence homologuées conformément à l'article 34, seul cet engagement est envoyé à la commission qui en accuse réception. Dès lors, le responsable du traitement ou des traitements déclarés conformes peut le ou les mettre en œuvre. Le responsable des traitements tient à jour la liste des traitements entrant dans le cadre d'un engagement de conformité. Pour les traitements qui ne sont pas enregistrés dans le répertoire public mentionné à l'article L. 1121-15 du code de la santé publique, les traitements sont enregistrés dans un répertoire public mis à disposition par le secrétariat unique.
L'Institut national des données de santé peut adresser à la commission des contributions en vue d'éventuelles recommandations de la commission relatives aux traitements visés au chapitre IX de la loi n° 78-17 du 6 janvier 1978 et mentionnées à l'article 11 de cette même loi.
 Ces propositions sont rendues publiques. Elles peuvent s'appliquer à des catégories d'opérations pouvant constituer des étapes indépendantes de traitements automatisés.
 Les dossiers de demande peuvent se référer aux recommandations publiées par la commission.
Les traitements de données de santé mis en œuvre afin de répondre à une alerte sanitaire conformément aux dispositions du V de l'article 22 de la loi n° 78-17 du 6 janvier 1978, peuvent recourir au numéro d'inscription au répertoire national d'identification des personnes physiques lorsque c'est le seul moyen de collecter des données de santé à caractère personnel nécessaires pour faire face à l'urgence sanitaire. 
Le numéro d'inscription au répertoire national d'identification des personnes physiques est collecté soit directement auprès des personnes concernées, soit indirectement auprès de leurs proches ou de toutes personnes morales habilitées à traiter ce numéro dans le cadre de leurs missions ou activités.
Sa transmission et sa conservation sur support électronique ou numérique font l'objet d'un chiffrement, conforme aux recommandations ou référentiels adoptés par la commission nationale de l'informatique et des libertés. Il est conservé pour la durée nécessaire à l'appariement de données.
Les délibérations de la commission sont prises à la majorité absolue des membres présents.
Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :
1° L'élection des vice-présidents, dont celle du vice-président délégué ;
2° L'adoption du règlement intérieur ;
3° Les autorisations délivrées par la commission lorsqu'elle est saisie de la création de traitements mentionnés à l'article 25 de la loi du 6 janvier 1978 susvisée ;
4° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la même loi ;
5° Les décisions prises en vertu du pouvoir réglementaire dont dispose la commission ainsi que celles prises en application du b du 2° de l'article 11 de la même loi ;
6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements mentionnés à l'article 53 de la même loi.
I.-Les dispositions du présent décret sont applicables de plein droit à Mayotte, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes antarctiques françaises et sont étendues              dans leur rédaction issue du décret n° 2015-1808 du 28 décembre 2015 aux îles Wallis et Futuna, sous réserve des adaptations suivantes : 
1° Le remboursement des frais prévus à l'article 6 intervient dans les conditions prévues par les décrets du 12 avril 1989 et du 22 septembre 1998 susvisés ; 
2°  Au premier alinéa de l'article 30, les mots : " dans un délai d'un mois " sont remplacés par les mots : " dans un délai de deux mois " ; 
3° A l'article 31, les mots : " dans un délai qui peut être réduit à quinze jours " sont remplacés par les mots : " dans un délai qui peut être réduit à un mois " ; 
4° Aux articles 61 et 87-1, les mots : " procureur de la République " sont remplacés par les mots : " procureur de la République près le tribunal de première instance ", sauf pour les Terres australes et antarctiques françaises ; 
4° bis A l'article 62-2, les mots : " du tribunal de grande instance " sont remplacés par les mots : " du tribunal de première instance " en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna ; 
5° Au deuxième alinéa de l'article 66, les mots : " au moins huit jours avant la date de son audition " sont remplacés par les mots : " au moins un mois avant la date de son audition " ; 
6° A l'article 68, les mots : " le préfet ou, selon le cas, le directeur général de l'agence régionale de santé dans le ressort territorial duquel doit avoir lieu le contrôle " sont remplacés par les mots : 
a) " Le haut-commissaire de la République ", en Polynésie française et en Nouvelle-Calédonie ; 
b) " L'administrateur supérieur des îles Wallis et Futuna ", dans les îles Wallis et Futuna ; 
c) " L'administrateur supérieur des Terres australes et antarctiques françaises ", dans les Terres australes et antarctiques françaises ; 
d) " le préfet ou, selon le cas, le directeur général de l'agence de santé de l'océan Indien ", dans le département de Mayotte ; 
7° A l'article 75, les mots : " dispose d'un délai d'un mois " sont remplacés par les mots : " dispose d'un délai de deux mois " ; 
8° Au premier alinéa de l'article 94, les mots : " dans le dél ai de deux mois " sont remplacés par les mots : " dans le délai de trois mois " ; 
9° A l'article 100, les mots : " par la production d'un acte d e notoriété ou d'un livret de famille " sont remplacés par les mots : 
" par tous moyens ". 
II.-Pour son application à Saint-Pierre-et-Miquelon, à Saint-Barthélemy, à Saint-Martin et à La Réunion, à l'article 68, les mots : " le directeur général de l'agence régionale de santé " sont remplacés par les mots : 
1° " Le directeur de l'administration territoriale de santé de Saint-Pierre-et-Miquelon " pour Saint-Pierre-et-Miquelon ; 
2° " Le directeur de l'agence de santé de la Guadeloupe, de Saint-Barthélemy et de Saint-Martin " pour la Guadeloupe, Saint-Barthélemy et Saint-Martin ; 
3° " Le directeur de l'agence de santé de l'océan Indien "  pour La Réunion.
Aux termes de ses investigations, la commission constate, en accord avec le responsable du traitement, celles des informations susceptibles d'être communiquées au demandeur dès lors que leur communication ne met pas en cause les finalités du traitement, la sûreté de l'Etat, la défense ou la sécurité publique. Elle transmet au demandeur ces informations. Le cas échéant, celles-ci sont communiquées selon des modalités définies d'un commun accord entre la commission et le responsable du traitement.
   Lorsque le responsable du traitement s'oppose à la communication au demandeur de tout ou partie des informations le concernant, la commission l'informe qu'il a été procédé aux vérifications nécessaires.
   La commission peut constater, en accord avec le responsable du traitement, que les informations concernant le demandeur doivent être rectifiées ou supprimées et qu'il y a lieu de l'en informer. En cas d'opposition du responsable du traitement, la commission se borne à informer le demandeur qu'il a été procédé aux vérifications nécessaires.
   Lorsque le traitement ne contient aucune information concernant le demandeur, la commission informe celui-ci, avec l'accord du responsable du traitement.
   En cas d'opposition du responsable du traitement, la commission se borne à informer le demandeur qu'il a été procédé aux vérifications nécessaires.
   La réponse de la commission mentionne les voies et délais de recours ouverts au demandeur. Pour les demandes relatives aux traitements ou parties de traitements intéressant la sûreté de l'Etat mentionnés à l'article R. 841-2 du code de la sécurité intérieure, la mention des voies de recours se limite au rappel des dispositions de l'article L. 841-2 du même code.
I. - Lorsque qu'elle envisage d'élaborer ou d'approuver les critères des référentiels de certification et d'agrément mentionnés au f bis du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée, la Commission nationale de l'informatique et des libertés se prononce, en fonction notamment du domaine d'activité et de l'objet du référentiel de certification, sur les modalités de certification et d'agrément retenues parmi celles définies au présent article.
 La commission peut décider de délivrer elle-même les certifications ou d'en laisser le soin à des organismes tiers.
 Lorsque la certification est délivrée par des organismes tiers, la commission détermine, en fonction du domaine d'activité et de l'objet du référentiel de certification, si elle agrée directement ces organismes certificateurs ou si cet agrément peut être délivré par l'organisme national d'accréditation mentionné au b du 1 de l'article 43 du règlement (UE) 2016/679 du 27 avril 2016 précité. Dans ce dernier cas, la commission saisit l'organisme national d'accréditation qui réalise une étude de faisabilité de l'agrément des organismes certificateurs potentiellement concernés. Une convention fixe les modalités de coopération entre la commission et l'organisme national d'accréditation.
 II. - Le contenu du dossier des demandes de certification et d'agrément présentées à la commission dans le cadre du I est fixé par la délibération arrêtant les critères de certification ou d'agrément.
 La commission se prononce dans un délai de quatre mois à compter de la réception d'une demande complète. Ce délai peut être prolongé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande est réputée rejetée.
 Si la commission saisit, en application du 3 de l'article 43 du règlement (UE) 2016/679 du 27 avril 2016 précité, le comité européen de la protection des données mentionné à l'article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu'à notification de son avis ou, le cas échéant, de sa décision conformément au 6 de l'article 65 du règlement précité. La commission informe le demandeur de cette saisine et des suites de celle-ci.
 Le contenu des dossiers de demandes présentées à l'organisme national d'accréditation dans le cadre du I, et les conditions de leur traitement, intégrant les exigences supplémentaires fixées, le cas échéant, par la commission, sont définies par le règlement d'accréditation de l'organisme national d'accréditation. Cette accréditation tient lieu d'agrément.
 III. - Les certifications sont délivrées pour une durée précisée par chaque référentiel de certification et qui ne saurait être supérieure à trois ans.
 Les organismes de certification sont agréés pour une durée de cinq ans maximum renouvelable dans des conditions fixées par le règlement intérieur de la commission ou, selon le cas, par le règlement d'accréditation de l'organisme national d'accréditation.
Lorsque la Commission nationale de l'informatique et des libertés est saisie d'une demande d'approbation de règles d'entreprises contraignantes mentionnées à l'article 47 du règlement (UE) 2016/679 du 27 avril 2016 précité, elle communique un projet de décision au comité européen de la protection des données mentionné à l'article 68 du même règlement dans un délai de quatre mois. Ce délai peut être prorogé de deux mois supplémentaires sur décision de son président. La commission informe le demandeur de cette transmission.
 Après réception de l'avis du comité européen de la protection des données en vertu de l'article 64 du règlement (UE) 2016/679 du 27 avril 2016 précité ou, le cas échéant, après la mise en œuvre de la procédure de règlement des litiges par le comité en application de l'article 65 du même règlement, la commission se prononce sur la demande dans un délai d'un mois. Lorsque la commission ne s'est pas prononcée dans ce délai, la demande est réputée rejetée.
En application de l'article 40 du règlement (UE) 2016/679 du 27 avril 2016 précité, les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants soumettent un projet de code de conduite, une modification ou une prorogation d'un code existant à la Commission nationale de l'informatique et des libertés.
 La commission approuve ce projet de code, cette modification ou cette prorogation dans un délai de quatre mois à compter de la réception de la demande. Ce délai peut être prorogé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande est réputée rejetée.
 Si la commission saisit, en application du 7 de l'article 40 du règlement (UE) 2016/679 du 27 avril 2016 précité, le comité européen de la protection des données mentionné à l'article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu'à la notification de l'avis rendu par ce comité ou, le cas échéant, de la décision prise par la Commission européenne, en application des règles relatives au mécanisme de contrôle de la cohérence. La commission informe le demandeur de cette saisine et des suites de celle-ci.
L'accomplissement des missions de la commission est gratuit pour la personne concernée et pour le délégué à la protection des données.
 Toutefois, lorsqu'une demande est manifestement infondée ou excessive en raison notamment de son caractère répétitif, la commission peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. En cas de contestation, la charge de la preuve du caractère manifestement infondé ou excessif de la demande incombe à la commission.
Sont autorisés à déroger au droit à la communication d'une violation de données, dans les conditions prévues au III de l'article 40 de la loi du 6 janvier 1978 susvisée :

 1° Les traitements comportant des données à caractère personnel susceptibles de permettre, directement ou indirectement, d'identifier des personnes dont l'anonymat est protégé au titre de l'article 39 sexies de la loi du 29 juillet 1881 sur la liberté de la presse ;

 2° Les traitements de données de gestion administrative, financière et opérationnelle ainsi que les traitements de données de santé pour lesquels la notification d'une divulgation ou d'un accès non autorisé est susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique au regard du volume des données concernées par la violation et des informations relatives à la vie privée qu'elles comportent telles que l'adresse ou la composition de la famille.
Le président du comité d'audit rend compte annuellement au ministre chargé des affaires sociales et de la santé ainsi qu'au comité stratégique de la stratégie d'audit du comité d'audit, des audits réalisés, du niveau global de maîtrise des opérations, des problèmes significatifs constatés ainsi que des recommandations formulées pour respecter la législation en vigueur, les référentiels et réduire les risques.
 Le président du comité d'audit présente les principales conclusions et recommandations des audits au comité d'audit.
Le comité d'audit prévu à l'article 65 de la loi du 6 janvier 1978 susvisée est présidé par le haut fonctionnaire de défense et de sécurité des ministères chargés des affaires sociales qui peut déléguer cette fonction au fonctionnaire de sécurité des systèmes d'information des ministères chargés des affaires sociales et de la santé.
 Le comité d'audit est composé :
 1° Du directeur de la recherche, des études, de l'évaluation et des statistiques ou son représentant ;
 2° Du délégué à la stratégie des systèmes d'information de santé ou son représentant ;
 3° Du directeur de la Caisse nationale d'assurance maladie, responsable du traitement du système national des données de santé, ou son représentant ;
 4° Du directeur de l'Agence technique de l'information sur l'hospitalisation ou son représentant ;
 5° Du directeur de l'Institut national de la santé et de la recherche médicale ou son représentant ;
 6° Du directeur de la Caisse nationale de solidarité pour l'autonomie ou son représentant ;
 7° De représentants des organismes d'assurance maladie complémentaire ;
 8° Du président de l'Institut national des données de santé ou son représentant ;
 9° D'une personne représentant les acteurs privés du domaine de la santé ;
 10° D'une personnalité qualifiée.
 Les personnes mentionnées aux 7°, 9° et 10° sont désignées par arrêté du ministre chargé des affaires sociales et de la santé, sur proposition du président du comité d'audit.
 Le président de la Commission nationale de l'informatique et des libertés ou son représentant assiste au comité d'audit en tant qu'observateur.
 Le comité d'audit se réunit au moins deux fois par an sur convocation de son président.
 Sur la base des orientations arrêtées par le comité d'audit, son président décide des audits à réaliser chaque année sur l'ensemble des systèmes réunissant, organisant ou mettant à disposition tout ou partie des données du système national des données de santé à des fins de recherche, d'étude ou d'évaluation et sur les systèmes composant le système national des données de santé.
 La stratégie d'audit ainsi que la programmation des audits sont transmises par le président du comité d'audit au président de la Commission nationale de l'informatique et des libertés.
Le président du comité d'audit envoie une notification à l'entité auditée pour l'avertir de l'audit. Cette notification rappelle notamment l'objet de la mission, l'identité des auditeurs, la procédure d'audit, le droit d'opposition à l'audit de l'entité auditée qui peut s'exercer à tout moment ainsi que les délais et les voies de recours de l'entité auditée.
 Si l'entité auditée fait état de son droit d'opposition à l'audit, les auditeurs alertent aussitôt le président du comité d'audit qui en informe sans délai le président de la Commission nationale de l'informatique et des libertés.
 Les auditeurs ont accès de 8 heures à 20 heures, pour l'exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre des traitements de données à caractère personnel, à l'exclusion des parties de ceux-ci affectés au domicile privé.
 Pour l'exercice de leurs missions, les auditeurs peuvent demander communication de tous documents, quel qu'en soit le support, et en prendre copie. Ils peuvent recueillir, notamment sur place ou sur convocation, tout renseignement et toute justification utiles. Les auditeurs peuvent accéder, dans des conditions préservant la confidentialité à l'égard des tiers, aux programmes informatiques et aux données, ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins de l'audit.
 Les auditeurs peuvent procéder à toute constatation utile. Les auditeurs peuvent notamment, à partir d'un service de communication au public en ligne, consulter les données librement accessibles ou rendues accessibles. Les auditeurs peuvent retranscrire les données par tout traitement approprié dans des documents directement utilisables pour les besoins de l'audit.
 En cas de difficultés lors de l'audit, l'entité auditée peut saisir le président du comité d'audit afin qu'il s'assure de la conformité du comportement du prestataire et de ses auditeurs aux exigences découlant de la loi du 6 janvier 1978 susvisée, du présent décret, de la charte d'audit mentionnée à l'article 32-2 et des clauses du marché public sur le fondement duquel ils interviennent.
Les audits sont réalisés par des prestataires indépendants.
 Si le périmètre de l'audit implique des données médicales individuelles, le prestataire retenu doit prévoir la présence d'un médecin auprès des auditeurs pour tous les aspects de l'audit concernant ces données.
 Le président du comité d'audit suit la mise en œuvre des audits et en rend compte au comité.
 Le comité d'audit et le prestataire fondent leur action sur une charte d'audit définie par arrêté du ministre chargé des affaires sociales et de la santé pris après avis de la Commission nationale de l'informatique et des libertés.
L'audit donne lieu à un rapport qui est transmis, pour contradiction, à l'entité auditée. Ce rapport rappelle l'objet de la mission, les membres de celle-ci, les personnes rencontrées, le cas échéant leurs déclarations, les demandes formulées par les auditeurs ainsi que les éventuelles difficultés rencontrées. Les manquements et dysfonctionnements constatés par les auditeurs à la loi du 6 janvier 1978 susvisée et aux dispositions du code de la santé publique relatives au système national des données de santé sont consignés dans ces rapports ainsi que les recommandations en découlant.
 Le rapport est signé par les auditeurs. Il est envoyé, après validation par le président du comité d'audit, par ce dernier par lettre recommandée avec accusé de réception à l'entité auditée.
 Lorsque l'audit conduit à l'accès à des données médicales individuelles, le médecin désigné par le prestataire consigne dans un rapport les vérifications qu'il a faites sans faire état des données médicales individuelles auxquelles il a eu accès. Le rapport, après validation par le président du comité d'audit, est transmis par ce dernier par lettre recommandée avec accusé de réception à l'entité contrôlée.
 L'entité auditée dispose d'un délai d'un mois pour répondre à compter de la réception des rapports. Ses réponses doivent comporter un plan d'action et un calendrier de mise en œuvre de ses actions.
 Au vu des réponses de l'entité auditée, de son plan d'action et de son calendrier de mise en œuvre, les auditeurs formalisent des rapports définitifs. Ces rapports définitifs sont signés par les auditeurs et le président du comité d'audit, après validation par ce dernier. Ils sont envoyés aux entités auditées par lettre recommandée avec accusé de réception par le président du comité d'audit.
 Les rapports définitifs sont systématiquement transmis au président de la Commission nationale de l'informatique et des libertés, et à tous les corps de contrôle qui en font la demande.
 L'intégralité des pièces justificatives sont transmises par les auditeurs au président du comité d'audit.
Les entités auditées rendent compte au président du comité d'audit et aux auditeurs de la mise en œuvre de leur plan d'action tous les six mois ou selon le calendrier arrêté par les parties. Les entités auditées doivent fournir à cette occasion tout document justifiant de cette mise en œuvre.
 Le président du comité d'audit et les auditeurs suivent la mise en œuvre de ces plans d'action.
Les articles 74 à 78 sont applicables à la présente section.
 Les sous-sections 2 et 3 s'appliquent lorsque la Commission nationale de l'informatique et des libertés entend adopter une mesure correctrice en tant qu'autorité chef de file au sens de l'article 56 du règlement (UE) 2016/679 du 27 avril 2016 précité pour les opérations de traitement relevant du champ d'application de ce règlement.
La formation restreinte communique la mesure provisoire adoptée ainsi que sa durée de validité, qui ne peut excéder trois mois conformément au 1 de l'article 66 du règlement (UE) 2016/679 du 27 avril 2016 précité, aux autorités de contrôle concernées, au comité européen de la protection des données et à la Commission européenne. Elle la notifie au responsable du traitement ou au sous-traitant par tout moyen permettant à la commission d'attester la date de notification.
 Cette décision est communiquée au président de la commission et au rapporteur.
Si les objections des autorités de contrôle concernées tendent à ce que soit prononcée une mesure prévue au titre du III de l'article 45 en lieu et place de la mesure initialement proposée en application du I ou du II de l'article 45, le président de la commission désigne sans tarder un rapporteur qui instruit l'affaire en tenant compte de ces objections dans les conditions prévues à l'article 75. La formation restreinte adopte une décision finale dans les conditions prévues à la sous-section suivante.
La formation restreinte communique aux autorités de contrôle concernées le rapport et les informations utiles mentionnés au premier alinéa de l'article 49-3 de la loi du 6 janvier 1978 susvisée, au plus tard une semaine après la notification prévue au premier alinéa de l'article 75.
 Les autorités de contrôle concernées sont informées de la date de la séance de la formation restreinte prévue à l'article 76 en même temps que le responsable du traitement ou le sous-traitant et reçoivent toute information utile, notamment les observations en défense du mis en cause. Elles sont mises en mesure d'assister à l'audition par le biais d'outils de visioconférence ou communication électronique permettant leur identification ou d'en prendre connaissance par le moyen d'un enregistrement. A défaut, un procès-verbal est dressé à son issue, dont elles peuvent prendre connaissance.
Sous réserve des actes d'exécution adoptés par la Commission européenne en application de l'article 67 du règlement (UE) 2016/679 du 27 avril 2016 précité, les communications entre la Commission nationale de l'informatique et des libertés et les autres autorités de contrôle ou entre la Commission nationale de l'informatique et des libertés et le comité européen de la protection des données se font par tout moyen électronique permettant d'attester la date de réception.
 Si cette communication s'avère longue ou difficile en raison de la nature ou du volume des informations échangées, la commission transmet ces informations par tout moyen ou les tient à disposition des autres autorités de contrôle ou du comité européen de la protection des données.
Si les objections des autorités de contrôle concernées proposent de s'écarter du projet de décision mentionné à l'article 81-7 par la prise en compte d'une circonstance de fait nouvelle, l'ajout d'un manquement ou une modification de la nature de la mesure correctrice initialement proposée, la formation restreinte rouvre l'instruction et communique sans tarder au rapporteur ces objections afin qu'il complète son rapport et, le cas échéant, le modifie. L'affaire est instruite dans les conditions prévues aux articles 75 et suivants.
Lorsque l'autorité de contrôle d'un Etat membre demande la participation d'un de ses membres ou agents à une opération conjointe, elle atteste auprès du président de la Commission nationale de l'informatique et des libertés qu'ils répondent aux conditions prévues aux articles 58 et 59. Le président de la commission est tenu de refuser l'habilitation si le membre ou l'agent ne respecte pas ces conditions.
Le président de la Commission nationale de l'informatique et des libertés peut retirer l'habilitation délivrée en application de l'article 60-1 si les conditions prévues aux articles 58 et 59 cessent d'être remplies. L'intéressé est mis en demeure de présenter ses observations. En cas d'urgence, le président de la commission peut suspendre l'habilitation. Il informe l'autorité de contrôle concernée du retrait ou de la suspension.
Lorsque les membres ou agents font usage d'une identité d'emprunt au sens du III de l'article 44 de la loi du 6 janvier 1978 susvisée, pour contrôler des services de communication au public en ligne d'un responsable du traitement ou d'un sous-traitant, ils dressent un procès-verbal des opérations en ligne réalisées, des modalités de consultation et d'utilisation de ces services, des réponses obtenues et de leurs constatations. Y sont annexées les pages pertinentes du site ou toute autre information au regard des constatations effectuées. Ce procès-verbal est adressé au responsable du traitement ou au sous-traitant.
Le contrat ou l'autre acte juridique liant le sous-traitant à l'égard du responsable du traitement, mentionné à l'article 70-10 de la loi du 6 janvier 1978 susvisée, prévoit notamment que le sous-traitant :
 1° Veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
 2° Aide le responsable du traitement, par tout moyen approprié, à veiller au respect des dispositions de la section 3 du chapitre XIII de la même loi ;
 3° Selon le choix du responsable du traitement et sous réserve d'un éventuel archivage dans l'intérêt public, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation des services de traitement des données, et détruit les copies existantes ;
 4° Met à la disposition du responsable du traitement toutes les informations nécessaires pour apporter la preuve du respect de l'article 70-10 précité et du présent article ;
 5° Respecte, pour recruter un autre sous-traitant, les conditions prévues au 2 de l'article 28 du règlement (UE) 2016/679 du 27 avril 2016 précité, au dernier alinéa de l'article 70-10 précité et au présent article.
 Cet acte juridique revêt la forme écrite, y compris la forme électronique.
Le 1 de l'article 26 du règlement (UE) 2016/679 du 27 avril 2016 précité est applicable en ce qu'il concerne l'exercice des droits de la personne concernée prévus par la section 3 du chapitre XIII de la loi du 6 janvier 1978 susvisée et la communication des informations visées à l'article 70-18 de la même loi.
 Toutefois, la désignation, parmi les responsables conjoints du traitement, du point de contact pour les personnes concernées est obligatoire. Cette désignation doit être mentionnée dans l'acte instaurant le traitement, ou lorsque ce traitement n'est pas mis en œuvre pour le compte de l'Etat, dans l'accord conclu entre les responsables conjoints du traitement.
 Si le point de contact n'a pas été désigné ou si sa désignation n'a pas été rendue publique, la personne concernée peut exercer ses droits à l'égard de et contre chacun des responsables du traitement.
Le fait qu'un type de traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques nécessitant la réalisation d'une analyse d'impact en application de l'article 70-4 de la loi du 6 janvier 1978 susvisée est, outre s'il porte sur des données mentionnées au I de l'article 8 de cette loi, déterminé par le recours aux nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement.
 L'analyse d'impact contient au moins une description générale des opérations de traitement envisagées, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect des dispositions du chapitre XIII de la même loi, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes touchées.
 Lorsque la Commission nationale de l'informatique et des libertés est consultée préalablement à la mise en œuvre du traitement, le responsable du traitement ou le sous-traitant lui fournit l'analyse d'impact relative à la protection des données et, sur demande, toute autre information afin de lui permettre d'apprécier la conformité du traitement et, en particulier, les risques pour la protection des données à caractère personnel de la personne concernée et les garanties qui s'y rapportent.
 Lorsque la Commission nationale de l'informatique et des libertés est d'avis que le traitement constituerait une violation des dispositions du chapitre XIII de la même loi, en particulier lorsque le responsable du traitement n'a pas suffisamment identifié ou atténué le risque, elle fournit, dans le délai prévu par l'article 28 de la loi du 6 janvier 1978 susvisée, un avis écrit au responsable du traitement, et le cas échéant au sous-traitant. Elle peut également conseiller le responsable du traitement et faire usage des pouvoirs visés au e du 2° du I de l'article 11 et aux I, 2° et 4° du II et 1° à 3° du III de l'article 45 de la même loi.
Le responsable du traitement prend des mesures raisonnables pour fournir toute information visée à l'article 70-18 de la loi du 6 janvier 1978 susvisée. Il procède à toute communication à la personne concernée, prévue par les articles 70-16,70-19 à 70-21 de la même loi, d'une façon concise, compréhensible et aisément accessible, en des termes clairs et simples.
Lorsque la personne concernée forme une demande, y compris par voie électronique, tendant à la mise en œuvre des droits prévus au II de l'article 70-18 et aux articles 70-19 et 70-20 de la loi du 6 janvier 1978 susvisée, elle justifie de son identité par tout moyen et précise l'adresse à laquelle doit parvenir la réponse. Elle peut exercer ses droits en utilisant des données d'identité numériques lorsque ces données sont nécessaires et estimées suffisantes par le responsable du traitement pour authentifier ses utilisateurs.
 Lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne, il peut demander les informations supplémentaires apparaissant nécessaires, y compris, lorsque la situation l'exige, la photocopie d'un titre d'identité portant la signature du titulaire.
 Ces demandes peuvent être présentées par une personne spécialement mandatée à cet effet par le demandeur, après justification de son mandat, de son identité et de l'identité du mandant.
 Lorsque la demande présentée sur place ne peut être satisfaite immédiatement, il est délivré à son auteur un avis de réception, daté et signé.
 Les dispositions des quatrième et cinquième alinéas de l'article 92 du présent décret sont applicables.
 Le responsable du traitement répond par écrit à la demande présentée par l'intéressé dans le délai de deux mois suivant sa réception et dans les conditions prévues à l'article 95 du présent décret.
 Si la demande est imprécise ou ne comporte pas tous les éléments permettant au responsable du traitement de procéder aux opérations qui lui sont demandées, celui-ci invite le demandeur à les lui fournir avant l'expiration du délai prévu à l'alinéa précédent. Le responsable du traitement y procède par lettre remise contre signature ou par voie électronique. La demande de compléments d'information suspend le délai prévu à l'alinéa précédent.
 Lorsque le responsable du traitement ne s'est pas prononcé dans le délai de deux mois, la demande est réputée rejetée.
Sans préjudice des dispositions spécifiques applicables à certains traitements, les demandes formées en application de l'article 70-22 de la loi du 6 janvier 1978 susvisée sont régies par les dispositions des articles 86 à 88 du présent décret. Sous peine d'irrecevabilité de sa demande, la personne concernée doit justifier auprès de la Commission nationale de l'informatique et des libertés soit de la réponse écrite du responsable du traitement attestant de la restriction de ses droits intervenue en application des II ou III de l'article 70-21 de la même loi, soit de la demande qu'elle a adressée à ce dernier plus de deux mois auparavant en application de l'article 110-5 du présent décret.
 Lorsque les informations contenues dans l'un des traitements visés au premier alinéa font l'objet d'une procédure judiciaire, celles-ci ne peuvent être communiquées que si ladite procédure est close.
Les dérogations prévues au troisième alinéa de l'article 36 de la loi du 6 janvier 1978 susvisée relatif aux traitements à des fins de recherche scientifique ou historique ou à des fins statistiques s'appliquent uniquement dans les cas où les droits prévus aux articles 15, 16, 18 et 21 du règlement (UE) 2016/679 du 27 avril 2016 précité risqueraient de rendre impossible ou d'entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités.
 Les données issues de ces traitements conservées par le responsable du traitement ou son sous-traitant ne sont accessibles ou modifiables que par des personnes autorisées. Ces personnes respectent les règles de déontologie applicables à leurs secteurs d'activités. Les autorisations accordées par les responsables de traitement à ces personnes respectent les finalités spécifiques de l'alinéa précédent ainsi que les garanties prévues à l'alinéa suivant.
 Ces données ne peuvent pas être diffusées sans avoir été préalablement anonymisées sauf si l'intérêt des tiers à cette diffusion prévaut sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. Pour les résultats de la recherche, cette diffusion doit être absolument nécessaire à sa présentation. Les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. La diffusion de données à caractère personnel figurant dans des documents consultés en application de l'article L. 213-3 du code du patrimoine ne peut intervenir qu'après autorisation de l'administration des archives, après accord de l'autorité dont émanent les documents et avis du comité du secret statistique institué par l'article 6 bis de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques en ce qui concerne les données couvertes par le secret en matière de statistiques.
Le commissaire du Gouvernement est convoqué à toutes les séances mentionnées à l'article 18 de la loi du 6 janvier 1978 susvisée dans les mêmes conditions que les membres de la commission.
En cas d'absence ou d'empêchement, il est remplacé par un commissaire du Gouvernement adjoint.
La commission ne peut valablement délibérer que si le projet de délibération et, le cas échéant, le rapport y afférent, relatifs aux dossiers inscrits à l'ordre du jour d'une séance sont parvenus au commissaire du Gouvernement huit jours au moins avant la date de la séance.
Le commissaire du Gouvernement peut consulter dans le même délai, sur place et sur pièces, les dossiers inscrits à l'ordre du jour.
Les délibérations de la commission sont prises à la majorité absolue des membres présents.
Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :
1° L'élection des vice-présidents, dont celle du vice-président délégué ;
2° L'adoption du règlement intérieur ;
3° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la loi du 6 janvier 1978 susvisée ;
 4° Les lignes directrices, recommandations ou référentiels et les méthodologies de référence mentionnés au a bis, ainsi que les règlements types mentionnés au b du 2° du I de l'article 11 de la même loi ;
 5° Les décisions élaborant ou approuvant les critères des référentiels de certification et d'agrément mentionnés au f bis du 2° du I de l'article 11 de la même loi ;
6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements en application du chapitre IX de la même loi ;
7° Les clauses contractuelles types de protection des données mentionnées à l'article 28 et à l'article 46 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
 8° Les décisions et avis relatifs aux codes de conduite mentionnés au 5 de l'article 40 du même règlement ;
 9° Les listes de traitement mentionnées aux 4 et 5 de l'article 35 du même règlement et au i du 2° du I de l'article 11 de la même loi.
I. - Le président de la commission et le vice-président délégué peuvent, après en avoir informé la formation plénière de la commission, donner délégation au secrétaire général pour signer les seuls actes suivants :
 1° Tous actes ayant pour objet :
 a) La clôture d'une vérification diligentée en application du f du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée ;
 b) Conformément à la procédure de consultation préalable prévue à l'article 36 du règlement (UE) 2016/679 du 27 avril 2016 précité, d'adresser un avis écrit au responsable de traitement ;
 c) Le renouvellement du délai de mise en demeure en application de l'article 73 du présent décret ;
 d) La désignation d'un expert ou d'un médecin en application des articles 67 et 68 du présent décret ;
 e) La prolongation des délais mentionnés au 2 de l'article 36 du règlement (UE) 2016/679 du 27 avril 2016 précité, à l'article 28 et au V de l'article 54 de la même loi ainsi qu'aux articles 6-1, 6-6, 6-7 et 6-8 du présent décret ;
 2° Tout acte ayant pour objet le constat du respect des conditions mentionnées au 4 de l'article 34 du règlement (UE) 2016/679 du 27 avril 2016 précité ;
 3° Tous actes ayant pour objet :
 a) Le recrutement, la gestion et la rémunération du personnel de la commission ;
 b) La gestion de son budget ;
 c) La communication et la diffusion de documents administratifs ;
 d) Tous marchés et conventions nécessaires à son fonctionnement ;
 4° Tous actes ayant pour objet d'exercer les attributions mentionnées au c du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée et au 9 de l'article 60 du règlement (UE) 2016/679 du 27 avril 2016 précité.
 II. - Dans les conditions fixées par le président de la commission, le secrétaire général peut donner délégation aux agents d'encadrement placés sous son autorité à l'effet de signer, dans la limite de leurs attributions, tous actes pour lesquels il a lui-même reçu une délégation de signature en application du 2°, du 3° et du 4° du I.
 Les agents mentionnés à l'alinéa précédent peuvent eux-mêmes donner délégation pour signer tous actes relatifs aux affaires pour lesquelles ils ont eux-mêmes reçu délégation :
 1° Aux agents de catégorie A placés sous leur autorité pour les actes mentionnés au 3° du I ;
 2° Aux agents chargés de l'instruction des affaires mentionnées au 4° du I.
 III. - Ces délégations s'exercent sous l'autorité du président et du vice-président délégué ainsi que, le cas échéant, sous l'autorité du supérieur hiérarchique immédiat des agents concernés.
 IV. - Ces délégations sont publiées sur le site internet de la Commission nationale de l'informatique et des libertés.
Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé prévu par le 2° de l'article 64 de la loi du 6 janvier 1978 susvisé comprend vingt et un membres, nommés par arrêté conjoint du ministre chargé de la recherche et du ministre chargé de la santé, après appel à candidatures public, en raison de leurs compétences en matière de recherche dans les domaines de la santé, de l'épidémiologie, de la génétique, de la biostatistique et des sciences humaines et sociales et en matière de traitement des données à caractère personnel, sur proposition d'un comité de sélection, dont la composition est fixée par arrêté des ministres chargés de la santé et de la recherche.
Plusieurs sections peuvent être instituées au sein du comité en fonction de la nature ou de la finalité du traitement.

Parmi les candidats figurent au moins trois personnes choisies pour leur connaissance des données de santé, proposées au comité de sélection respectivement par la Caisse nationale d'assurance maladie des travailleurs salariés, l'Agence nationale de santé publique et l'Institut national de la santé et de la recherche médicale.

Le président du comité d'expertise est nommé par arrêté conjoint du ministre chargé de la recherche et du ministre chargé de la santé parmi les membres du comité et sur proposition du comité, statuant à la majorité des membres qui le constituent par un vote à bulletin secret.

Le mandat des membres et du président du comité d'expertise est de trois ans, renouvelable une fois. Les membres démissionnaires ou décédés sont remplacés pour la durée restant à courir de leur mandat.
I. - Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé se réunit au moins dix fois par an sur convocation de son président. Il ne peut valablement siéger que si la moitié au moins de ses membres est présente.

Chaque dossier est évalué par deux membres du comité, sauf exception motivée par le président, qui assure la distribution des dossiers entre les membres du comité en fonction de leurs compétences.

II. - Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé rend ses avis à la majorité des membres présents. Le vote a lieu à main levée. En cas de partage égal des voix, celle du président est prépondérante.

Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé peut se prononcer sans débat sur des traitements similaires à ceux qu'il a déjà examinés c'est-à-dire des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.

Lorsque l'avis rendu est favorable avec recommandations, réservé ou défavorable, il doit être motivé. S'il le juge pertinent, le comité accompagne l'avis favorable d'éléments justificatifs. La motivation de l'avis et les éléments justificatifs sont communiqués au demandeur, au secrétariat unique et à la commission si elle est saisie. Pour les traitements autorisés par la commission, la motivation de l'avis du comité les éléments justificatifs sont publiés par l'Institut national des données de santé à la fin de la recherche, de l'étude ou de l'évaluation.

III. - Les séances du comité ne sont pas publiques. Un représentant de l'Institut national des données de santé peut y assister sans prendre part aux délibérations.

IV. - Le comité peut faire appel à des experts extérieurs choisis par le président du comité sur proposition de ses membres, notamment pour la participation à certaines des sections mentionnées à l'article 25. Ces experts sont soumis aux obligations prévues par l'article L. 1451-1 du code de la santé publique.

Les membres du comité et les experts extérieurs sont tenus au secret professionnel.

V. - Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé adopte son règlement intérieur qui définit les modalités de son fonctionnement et, le cas échéant, l'organisation des sections et qui est approuvé par le ministre chargé de la recherche et par le ministre chargé de la santé.

Le président peut déléguer sa signature à un membre du comité d'expertise nommément désigné.