Nicolas-BZRD/DILA_OPENDATA_FR_2023 huggingface dataset:
I. - La Commission nationale de l'informatique et des libertés, saisie dans le cadre du a du 4° du I de l'article 11 de la loi du 6 janvier 1978 susvisée, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande d'avis. Ce délai peut être prolongé d'un mois sur décision motivée du président de la commission.
En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie de projets de loi ou de décret ou de toute disposition de projet de loi ou de décret.
II. - Les avis destinés au président de l'Assemblée nationale, au président du Sénat, aux commissions parlementaires de l'Assemblée nationale et du Sénat ou aux présidents de groupe parlementaire peuvent être publiés par leur destinataire ou, avec l'accord de ce dernier, par la Commission nationale de l'informatique et des libertés.
III. - La commission, saisie dans le cadre du d du 2° du I de l'article 11 de la même loi, ou sur le fondement de toute autre disposition législative prévoyant qu'un acte réglementaire est pris après avis de la commission, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande. Ce délai peut être prolongé d'un mois sur décision motivée du président de la commission. En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie par ce dernier.
 IV. - Lorsqu'il n'est pas rendu à l'expiration des délais prévus au I et au III, l'avis demandé à la commission est réputé donné.
Les membres de la commission ont droit au remboursement des frais que nécessite l'exécution de leur mandat, dans les conditions prévues par le décret n° 2006-781 du 3 juillet 2006 fixant les conditions et les modalités de règlement des frais occasionnés par les déplacements temporaires des personnels civils de l'Etat.
Les personnels qui sont appelés à prêter leur concours à la commission ont droit, dans les conditions de l'alinéa précédent, au remboursement des frais engagés à l'occasion des missions exécutées pour le compte de la commission.
Conformément aux dispositions du deuxième alinéa de l'article 61 de la loi n° 78-17 du 6 janvier 1978 susvisée, l'Institut national des données de santé prévu à l'article L. 1462-1 du code de la santé publique peut être saisi par la commission ou le ministre chargé de la santé pour qu'il se prononce sur le caractère d'intérêt public que présente une recherche, une étude ou une évaluation justifiant une demande d'autorisation de traitement de données en application du chapitre IX de la même loi. Il peut évoquer le cas de sa propre initiative, au plus tard une semaine après avis du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé, lorsque la demande d'autorisation concerne une recherche, une étude ou une évaluation n'impliquant pas la personne humaine.
Il rend un avis motivé dans un délai d'un mois à compter de sa saisine.
L'Institut national des données de santé peut se prononcer sans débat sur des traitements similaires à ceux qu'il a déjà examinés c'est-à-dire des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
Lorsque l'Institut national des données de santé est saisi, le secrétariat unique mentionné à l'article 20 en avise le demandeur sans délai.
L'avis rendu par l'Institut national des données de santé est transmis à l'auteur de la saisine et au demandeur.
Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé est saisi, préalablement à la saisine de la commission de toute demande de mise en œuvre des traitements de données à caractère personnel ayant pour finalités la recherche, l'étude ou l'évaluation dans le domaine de la santé et n'impliquant pas la personne humaine, conformément au 2° de l'article 64 de la loi du 6 janvier 1978 susvisée.
Il peut être consulté, en outre, par les ministères concernés, par la commission, par l'Institut national des données de santé et par les organismes publics et privés qui ont recours à des traitements de données à caractère personnel dans ce domaine.
Les avis qu'il rend sont publiés par l'Institut national des données de santé.
Dès que le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé, mentionné au 2° de l'article 64 de la loi du 6 janvier 1978 susvisée, saisi par le secrétariat unique prévu par le 2° de l'article L. 1462-1 du code de la santé publique, a rendu son avis, celui-ci est notifié au secrétariat unique, par tout moyen permettant de dater la réception de cette notification.

L'avis rendu par le comité est transmis au demandeur de l'autorisation.

A l'expiration d'un délai d'un mois à compter de la date de réception du dossier complet par le comité, l'avis dudit comité est réputé favorable. En cas d'urgence, ce délai peut être ramené à quinze jours, dans les conditions prévues à l'article 32.
Dans les cas prévus à l'article 64 de la loi du 6 janvier 1978 susvisée, les dossiers de demande d'autorisation de traitement de données à caractère personnel ayant pour fin la recherche, les études et les évaluations dans le domaine de la santé sont signés par la personne qui a qualité pour représenter le responsable de traitement.
Ils sont déposés soit auprès de la Commission nationale de l'informatique et des libertés, après avis du comité compétent de protection des personnes en application du 1° de l'article 64 de la loi du 6 janvier 1978 susvisée, soit auprès du secrétariat unique confié, conformément au 2° de l'article L. 1462-1 du code de la santé publique, à l'Institut national des données de santé.
 Les dossiers déposés auprès du secrétariat unique sont transmis dans un délai maximal de sept jours ouvrés au comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé pour rendre un avis sur le projet.
Les traitements de données à caractère personnel dans le domaine de la santé mentionnés au premier alinéa de l'article 55 de la loi du 6 janvier 1978 susvisée ayant pour seule finalité de répondre, en cas de situation d'urgence, à une alerte sanitaire et d'en gérer les suites peuvent utiliser le numéro d'inscription au répertoire national d'identification des personnes physiques dans les conditions prévues au deuxième alinéa du même article 55 lorsqu'une telle utilisation constitue le seul moyen de collecter des données de santé à caractère personnel nécessaires pour faire face à l'urgence sanitaire.
 Le numéro d'inscription au répertoire national d'identification des personnes physiques est collecté soit directement auprès des personnes concernées, soit indirectement auprès de leurs proches ou de toutes personnes morales habilitées à traiter ce numéro dans le cadre de leurs missions ou activités.
 Sa transmission et sa conservation sur support électronique ou numérique font l'objet d'un chiffrement, conforme aux recommandations ou référentiels adoptés par la Commission nationale de l'informatique et des libertés. Il est conservé pour la durée nécessaire à l'appariement de données.
Le président du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé, siégeant à l'assemblée générale de l'Institut national des données de santé, peut avoir recours aux membres du comité d'expertise pour participer à la formalisation des référentiels et règlements types mentionnés au II de l'article 54 de la loi du 6 janvier 1978 susvisée et des méthodologies de référence mentionnées à l'article 62 de la même loi.
 La commission ou, par délégation, le président ou le vice-président délégué établit ces référentiels et règlements types et homologue ces méthodologies de référence. Ceux-ci sont publiés au Journal officiel de la République française.
Lorsque le responsable d'un traitement ou d'une catégorie de traitements similaires de données à caractère personnel a fait une déclaration de conformité à l'un des référentiels, l'un des règlements types ou à l'une des méthodologies de référence homologuées conformément à l'article 34, seule cette déclaration est envoyée à la commission qui en accuse réception. Le responsable des traitements tient à jour la liste des traitements entrant dans le cadre d'un engagement de conformité. Pour les traitements qui ne sont pas enregistrés dans le répertoire public mentionné à l'article L. 1121-15 du code de la santé publique, les traitements sont enregistrés dans un répertoire public mis à disposition par le secrétariat unique.
Lorsque le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé rend un avis favorable, le cas échéant de façon tacite, ou un avis favorable avec recommandations, réservé ou défavorable, le demandeur informe le secrétariat unique de sa volonté de saisir ou non la commission. Il peut rectifier ou compléter son dossier de demande d'autorisation sur les points qui ont fondé le refus, les réserves ou les recommandations du comité.

Lorsque le demandeur a informé le secrétariat de sa volonté que la commission soit saisie, le secrétariat unique précité transmet sans délai le dossier produit à l'appui de la demande accompagné des avis rendus, ou de l'avis de réception ou du récépissé de la demande d'avis lorsque ce comité a rendu un avis tacitement favorable, à la commission, qui se prononce dans les conditions prévues au V de l'article 54 de la loi précitée.

Le secrétariat unique informe le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé des suites données à son avis.

Le secrétariat unique tient à la disposition du demandeur de l'autorisation, les informations relatives à l'état d'avancement de l'instruction de son dossier jusqu'à l'avis rendu par la commission.
Les missions de contrôle sur place font l'objet d'un procès-verbal.
Le procès-verbal énonce la nature, le jour, l'heure et le lieu des vérifications ou des contrôles effectués. Il indique également l'objet de la mission, les membres de celle-ci présents, les personnes rencontrées, le cas échéant, leurs déclarations, les demandes formulées par les membres de la mission ainsi que les éventuelles difficultés rencontrées. L'inventaire des pièces et documents dont les personnes chargées du contrôle ont pris copie est annexé au procès-verbal.
Lorsque la visite n'a pu se dérouler, le procès-verbal mentionne les motifs qui ont empêché ou entravé son déroulement, ainsi que, le cas échéant, les motifs de l'opposition du responsable des lieux ou de son représentant.
Le procès-verbal est signé par les personnes chargées du contrôle qui y ont procédé et par le responsable des lieux ou par son représentant. En cas de refus ou d'absence de signature, mention en est portée au procès-verbal.
Le procès-verbal est notifié au responsable des lieux et au responsable des traitements ou au sous-traitant par lettre recommandée avec demande d'avis de réception.
Lorsque le président de la commission saisit le juge des libertés et de la détention sur le fondement du II de l'article 44 de la loi du 6 janvier 1978 susvisée afin que celui-ci autorise la visite sur place, le juge statue dans un délai de quarante-huit heures.
Sans préjudice du troisième alinéa du II de cet article 44, l'ordonnance autorisant la visite sur place comporte l'adresse des lieux à visiter, le nom et la qualité du ou des agents habilités à procéder aux opérations de visite et de contrôle, le cas échéant le nom et la qualité du ou des agents ou membres des autorités de contrôle des Etats membres habilités à procéder aux mêmes opérations, ainsi que les heures auxquelles ils sont autorisés à se présenter.
L'ordonnance, exécutoire au seul vu de la minute, est notifiée sur place, au moment de la visite, au responsable des lieux ou à son représentant qui en reçoit copie intégrale contre récépissé ou émargement au procès-verbal de visite.
L'acte de notification comporte mention des voies et délais de recours contre l'ordonnance ayant autorisé la visite et contre le déroulement des opérations de vérification. Il mentionne également que le juge ayant autorisé la visite peut être saisi d'une demande de suspension ou d'arrêt de cette visite.
En l'absence du responsable des lieux ou de son représentant, l'ordonnance est notifiée, après la visite, par lettre recommandée avec demande d'avis de réception. A défaut de réception de la lettre recommandée, il est procédé à la signification de l'ordonnance par acte d'huissier de justice.
Le juge des libertés et de la détention peut, s'il l'estime utile, se rendre dans les locaux pendant l'intervention. A tout moment, il peut décider la suspension ou l'arrêt de la visite. La saisine du juge des libertés et de la détention aux fins de suspension ou d'arrêt des opérations de visite et de vérification n'a pas d'effet suspensif.
Lorsqu'en application des articles 49 à 49-4 de la loi du 6 janvier 1978 susvisée la commission procède à des vérifications, à la demande d'une autorité de contrôle d'un autre Etat membre de l'Union européenne, elle en informe le responsable du traitement ou le sous-traitant.
Que le contrôle ait été effectué à la demande d'une autre autorité ou à sa seule initiative, la commission informe également le responsable du traitement que les informations recueillies ou détenues par elle sont susceptibles d'être communiquées à d'autres autorités de contrôle dans le cadre du mécanisme de contrôle de la cohérence prévu à la section 2 du chapitre VII du règlement (UE) 2016/679 du 27 avril 2016 précité.
La mise en demeure précise le ou les manquements aux obligations incombant au responsable du traitement ou au sous-traitant en vertu du règlement (UE) 2016/679 du 27 avril 2016 précité ou de la loi du 6 janvier 1978 susvisée qui ont été constatés par la commission.
La mise en demeure, décidée par le président de la commission, fixe le délai au terme duquel le responsable du traitement ou le sous-traitant est tenu d'avoir fait cesser le ou les manquements constatés. Ce délai ne peut, sauf urgence, être inférieur à dix jours. Il ne peut excéder six mois. Il court à compter du jour de la réception par le responsable du traitement de la mise en demeure.Lorsque la complexité de l'affaire le justifie, ce délai peut être renouvelé une fois dans la même limite.
La mise en demeure est adressée au responsable du traitement ou au sous-traitant par tout moyen permettant à la commission d'apporter la preuve de la date de cette notification. Elle est également transmise, à titre d'information, au commissaire du Gouvernement.
I. - Lorsqu'il est saisi en application des dispositions du I de l'article 39 ou du IV de l'article 46 de la loi du 6 janvier 1978 susvisée, le juge administratif statue dans les conditions définies au chapitre 5 du titre V du livre cinquième du code de justice administrative (partie réglementaire).
II. - Lorsqu'il est saisi en application des dispositions du IV de l'article 46 de la loi du 6 janvier 1978 susvisée, le juge judiciaire statue dans les conditions définies à la section IV du chapitre II du titre Ier du livre troisième du code de l'organisation judiciaire (partie réglementaire).
Les troisième et quatrième alinéas de l'article 75 ne sont pas applicables à la procédure régissant les mesures prises en vertu du II de l'article 46 de la loi du 6 janvier 1978 susvisée.
 Par dérogation au deuxième alinéa de l'article 75, le responsable du traitement ou le sous-traitant dispose d'un délai de huit jours pour transmettre à la formation restreinte ses observations écrites.
 Par dérogation à l'article 76, la convocation du responsable du traitement ou le sous-traitant doit lui être parvenue au plus tard huit jours avant la date de son audition devant la formation restreinte.
Lors de la séance, le rapporteur peut présenter des observations orales sur l'affaire. Lorsqu'il assiste à la séance, le responsable du traitement ou le sous-traitant et, le cas échéant, son conseil sont invités à présenter des observations orales à l'appui de leurs conclusions écrites. Le commissaire du Gouvernement est invité à donner son avis sur l'affaire. La formation restreinte peut entendre toute personne dont elle estime l'audition utile. Dans tous les cas, le responsable du traitement et, le cas échéant, son conseil doivent pouvoir prendre la parole en dernier. Lorsque la formation restreinte s'estime insuffisamment éclairée, elle peut demander au rapporteur de poursuivre ses diligences.
Un agent des services de la commission, faisant office de secrétaire de séance, peut être désigné par le président de la formation restreinte. Il assiste au délibéré de la formation restreinte, sans y prendre part. Il relève de la seule autorité du président de la formation restreinte dans le cadre de ces fonctions.
Le rapport prévu par l'article 47 de la loi du 6 janvier 1978 susvisée est notifié au responsable du traitement ou au sous-traitant par tout moyen permettant à la commission d'apporter la preuve de la date de cette notification. Il est également transmis à la formation restreinte.
Le responsable du traitement ou le sous-traitant dispose d'un délai d'un mois pour transmettre au rapporteur et à la formation restreinte ses observations écrites. La notification du rapport mentionne ce délai et précise que le responsable du traitement peut prendre connaissance et copie des pièces du dossier auprès des services de la commission et se faire assister ou représenter par tout conseil de son choix.
Le rapporteur peut répondre au responsable du traitement ou au sous-traitant dans les quinze jours suivant la réception des observations du mis en cause. Le responsable du traitement ou le sous-traitant dispose d'un nouveau délai de quinze jours pour, le cas échéant, produire des observations écrites. La formation restreinte est destinataire des courriers et pièces échangées en application du présent alinéa.
 Le responsable du traitement ou le sous-traitant est informé que passés les délais mentionnés aux alinéas précédents, sauf report de la clôture de l'instruction, l'instruction est close et ses observations écrites seront déclarées irrecevables par la formation restreinte.
 A tout moment, le rapporteur peut décider de modifier son rapport, notamment, au vu d'éléments portés à sa connaissance par le responsable du traitement ou le sous-traitant. Il est alors fait application de la procédure prévue aux alinéas précédents. Si la modification intervient après la clôture de l'instruction, l'instruction est rouverte.
Lorsque la formation restreinte constate que la mise en oeuvre d'un traitement de données, au nombre de ceux qui intéressent la sûreté de l'Etat ou la défense ou de ceux relevant du chapitre XIII de la loi du 6 janvier 1978 susvisée, entraîne une violation des droits et libertés mentionnés à l'article 1er de la même loi, elle informe, par tout moyen, le responsable du traitement ou le sous-traitant.
Le responsable du traitement ou le sous-traitant dispose d'un délai de huit jours pour transmettre à la formation restreinte ses observations écrites sur les manquements qui ont été constatés. Ce délai est porté à sa connaissance.
Le président de la formation restreinte informe, le cas échéant, le Premier ministre de la violation constatée.
Sous réserve des dispositions qui suivent, les articles 74 à 78 du présent décret, à l'exception des troisième et quatrième alinéas de l'article 75, sont applicables à la procédure présidant aux sanctions prises en application des 1° à 7° du I de l'article 46 de la loi du 6 janvier 1978 susvisée.
Le responsable du traitementou le sous-traitant dispose d'un délai de huit jours pour transmettre à la formation restreinte ses observations écrites.
La convocation du responsable du traitement ou le sous-traitant doit lui être parvenue au plus tard huit jours avant la date de son audition devant la formation restreinte.
Lorsqu'en application du III de l'article 44 de la loi du 6 janvier 1978 susvisée le président de la commission fait appel à un ou plusieurs experts, sa demande définit l'objet de l'expertise et fixe le délai de sa réalisation.
Préalablement aux opérations d'expertise, le ou les experts désignés attestent auprès du président de la commission qu'ils répondent aux conditions posées aux articles 57 à 60.
Les indemnités dues aux experts font, le cas échéant, l'objet d'une convention.
Le ou les experts informent le président de la commission de l'avancement des opérations d'expertise. Celles-ci sont menées contradictoirement.
Le rapport d'expertise est remis au président de la commission qui en adresse une copie au responsable du traitement.
En application du premier alinéa du III de l'article 44 de la loi du 6 janvier 1978 susvisée, les agents habilités en application des articles 19 et 49-1 de cette même loi peuvent entendre toute personne susceptible de leur fournir tout renseignement ou toute justification utile pour l'accomplissement de leur mission.
Les agents habilités en application de l'article 19 précité adressent la convocation, par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d'huissier, qui doit parvenir au moins huit jours avant la date de son audition.
La convocation rappelle à la personne convoquée qu'elle est en droit de se faire assister d'un conseil de son choix.
Un procès-verbal est dressé dans les conditions prévues à l'article 64. Lorsque l'intéressé ne se rend pas à l'audition, il en est fait mention dans un procès-verbal de carence établi par les personnes chargées du contrôle.
Lorsqu'un transfert a lieu en application du dernier alinéa du 1 de l'article 49 du règlement (UE) 2016/679 du 27 avril 2016 précité, le responsable du traitement fournit à la personne concernée les informations spécifiques mentionnées à cet alinéa. La Commission nationale de l'informatique et des libertés définit des modèles relatifs à sa propre information et fixe la liste des annexes qui, le cas échéant, doivent être jointes.
Le présent titre s'applique, le cas échéant par dérogation aux autres dispositions du présent décret, aux traitements relevant du chapitre XIII de la loi du 6 janvier 1978 susvisée.
 Les dispositions des articles 83 à 85 du présent décret sont applicables aux traitements de données à caractère personnel mentionnés à l'article 70-3 de la même loi.
Sont autorisés à mettre en œuvre, conformément à l'article 9 de la loi du 6 janvier 1978 susvisée, les traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes :
 1° Les associations d'aide aux victimes conventionnées par le ministère de la justice ;
 2° Les associations d'aide à la réinsertion des personnes placées sous-main de justice mentionnées à l'article 2-1 de la loi n° 2009-1436 du 24 novembre 2009 pénitentiaire, dans le respect de leur objet social ;
 3° Les établissements et services mentionnés aux 2° du I de l'article L. 312-1 du code de l'action sociale et des familles au titre de leur mission d'accompagnement médico-social ;
 4° Les établissements et services mentionnés aux 4° et 14° du I de l'article L. 312-1 du code de l'action sociale et des familles ;
 5° Les lieux de vie et d'accueil mentionnés au III de l'article L. 312-1 du code de l'action sociale et des familles ;
 6° Les établissements médicaux ou médico-pédagogiques habilités mentionnés aux articles 15 et 16 de l'ordonnance n° 45-174 du 2 février 1945 relative à l'enfance délinquante ;
 7° Les institutions ou les établissements publics ou privés, d'éducation ou de formation professionnelle, habilités et les internats appropriés aux mineurs délinquants d'âge scolaire mentionnés aux articles 15 et 16 de l'ordonnance du 2 février 1945 précitée ;
 8° Les personnes morales de droit privé exerçant une mission de service public ou les associations habilitées mentionnées à l'article 16 ter de l'ordonnance du 2 février 1945 précitée ;
 9° Les mandataires judiciaires à la protection des majeurs mentionnés à l'article L. 471-1 du code de l'action sociale et des familles.
Pour le transfert de données à caractère personnel vers un Etat n'appartenant pas à l'Union européenne ou à une organisation internationale, la Commission nationale de l'informatique et des libertés peut autoriser les clauses contractuelles et les arrangements administratifs mentionnés aux a et b du 3 de l'article 46 du règlement (UE) 2016/679 du 27 avril 2016 précité. La commission se prononce dans un délai de deux mois à compter de la réception de la demande selon une procédure définie dans son règlement intérieur. Toutefois, ce délai peut être renouvelé une fois sur décision motivée de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande est réputée rejetée.
 La mise en œuvre du mécanisme de contrôle de la cohérence prévu à la section 2 du chapitre VII du règlement précité suspend les délais précités.
Lorsque pour effectuer un transfert vers un Etat n'appartenant pas à l'Union européenne, le responsable du traitement ou le sous-traitant se fonde sur un code de conduite ou un mécanisme de certification approuvés conformément aux articles 6-6 et 6-8 du présent décret, il transmet à la Commission nationale de l'informatique et des libertés un engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d'appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.
Pour faciliter l'exercice du droit d'opposition prévu aux 2 et 3 de l'article 21 du règlement (UE) 2016/679 du 27 avril 2016 précité, la personne concernée est mise en mesure d'exprimer son choix à tout moment et, en tout état de cause, avant la validation définitive de ses réponses.
Lorsque la collecte des données intervient par voie orale, la personne concernée est mise en mesure d'exercer son droit d'opposition à tout moment et, en tout état de cause, avant la fin de la collecte des données le concernant.
Sans préjudice du 4 de l'article 12 du règlement (UE) 2016/679 du 27 avril 2016 précité, si la demande transmise par la personne concernée est imprécise ou ne comporte pas les éléments permettant au responsable du traitement ou au sous-traitant d'y répondre, celui-ci peut inviter le demandeur à lui fournir des informations complémentaires dans les délais prévus au 3 de l'article 12 du même règlement.
 Lorsque le responsable de traitement ou le sous-traitant ne s'est pas prononcé dans les délais mentionnés aux 3 et 4 de l'article 12 du règlement (UE) 2016/679 du 27 avril 2016 précité, la demande est réputée rejetée.
Saisie dans les conditions fixées à l'article 86, la commission notifie au demandeur, dans un délai de quatre mois à compter de sa saisine, le résultat de ses investigations. Si la demande ne comporte pas tous les éléments permettant à la commission de procéder aux investigations qui lui ont été demandées, celle-ci invite le demandeur à les lui fournir. A défaut de réponse du demandeur dans un délai de deux mois, la demande peut être rejetée. Le délai de quatre mois court à compter de la date de réception par la commission de ces informations complémentaires.
Si la vérification par la commission nécessite la centralisation préalable de pièces et d'éléments, le responsable du traitement doit y procéder dans un délai de trois mois à compter de la date de réception de la transmission par la commission de la demande d'accès. Ce délai peut être prorogé d'un mois supplémentaire lorsque le traitement de la demande nécessite des investigations complexes. La commission en est informée par le responsable du traitement. Le délai visé à l'alinéa précédent est alors porté à cinq mois. Le délai dont bénéficie le responsable du traitement s'impute sur le délai prévu à l'alinéa précédent.
Sans préjudice des dispositions spécifiques applicables à certains traitements, lorsque la commission sollicite l'avis d'une autorité exerçant des compétences analogues aux siennes dans un autre Etat membre de l'Union européenne ou un Etat tiers, le délai de quatre mois court à compter de la réception par la commission des informations qu'elle a demandées.
Les dispositions des articles 86, 87 et 88 sont applicables aux traitements mis en oeuvre par les administrations publiques et les personnes privées chargées d'une mission de service public qui ont pour mission de contrôler ou recouvrer des impositions, si l'acte instaurant le traitement a prévu que le droit d'accès s'exercerait dans les conditions de l'article 41 de la même loi.
Lorsque la personne concernée forme une demande, y compris par voie électronique, tendant à la mise en œuvre des droits prévus aux articles 38 à 40 de la loi du 6 janvier 1978 susvisée et aux articles 12 à 21 du règlement (UE) 2016/679 du 27 avril 2016 précité, elle justifie de son identité par tout moyen. Elle peut exercer ses droits en utilisant des données d'identité numériques lorsque ces données sont nécessaires et estimées suffisantes par le responsable du traitement pour authentifier ses utilisateurs.
 Lorsque le responsable du traitement ou le sous-traitant a des doutes raisonnables quant à l'identité de cette personne, il peut demander les informations supplémentaires apparaissant nécessaires, y compris, lorsque la situation l'exige, la photocopie d'un titre d'identité portant la signature du titulaire.
 Les délais prévus au 3 de l'article 12 du règlement (UE) 2016/679 du 27 avril 2016 précité sont suspendus lorsque le responsable du traitement ou le sous-traitant a sollicité des informations supplémentaires nécessaires pour identifier la personne concernée.
 Lorsqu'il existe un doute raisonnable sur l'identité du demandeur ou sur l'adresse postale à laquelle la personne concernée a demandé la transmission par écrit d'informations la concernant, la réponse peut être expédiée sous pli recommandé sans avis de réception, la vérification de l'adresse et de l'identité s'effectuant lors de la délivrance du pli.
 Lorsque le responsable du traitement, le sous-traitant ou le délégué à la protection des données n'est pas connu du demandeur, celui-ci peut adresser sa demande au siège de la personne morale, de l'autorité publique, du service ou de l'organisme dont le traitement relève. La demande est transmise immédiatement au responsable du traitement.
La notification d'une violation des données à caractère personnel prévue au premier alinéa du II de l'article 34 bis de la loi du 6 janvier 1978 susvisée est adressée à la Commission nationale de l'informatique et des libertés par lettre remise contre signature ou par voie électronique qui précise la nature et les conséquences de la violation des données à caractère personnel, les mesures déjà prises ou proposées par le fournisseur de services de communications électroniques accessibles au public pour y remédier et les personnes auprès desquelles des informations supplémentaires peuvent être obtenues et, lorsque cela est possible, une estimation du nombre de personnes susceptibles d'être impactées par la violation en cause.
Les agents de la commission et les personnes lui prêtant leur concours, appelés dans le cadre de l'exécution de leur mission, à prendre connaissance d'informations classifiées au titre de la protection du secret de défense nationale, doivent y être habilités par le Premier ministre dans les conditions fixées par le code de la défense.
Les agents de la commission et les personnes lui prêtant leur concours, appelés à effectuer les visites ou les vérifications portant sur les traitements relevant de l'article 26 de la loi du 6 janvier 1978 susvisée, doivent y être habilités par le Premier ministre, sur proposition du président de la commission, après une enquête administrative, dans les conditions prévues par l'article L. 114-1 du code de la sécurité intérieure, vérifiant que la moralité ou le comportement de ces personnes n'est pas incompatible avec l'exercice de leurs missions et la consultation de ces fichiers.
Sous réserve des dispositions particulières applicables au titre VIII toute demande d'accès ou de rectification des informations figurant dans les traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique, autorisés en application du 1° du I de l'article 26 de la loi du 6 janvier 1978 susvisée, est adressée à la commission par écrit.
La demande doit être signée et accompagnée de la photocopie d'un titre d'identité portant la signature du titulaire. Elle doit préciser l'adresse à laquelle doit parvenir la réponse. Lorsqu'il existe un doute sur l'adresse indiquée ou sur l'identité du demandeur, la réponse de la commission peut être expédiée par lettre remise contre signature, la vérification de l'adresse ou de l'identité du demandeur s'effectuant lors de la délivrance du pli.
Toute demande manifestement abusive peut être rejetée.
Dans le champ du règlement (UE) 2016/679 du 27 avril 2016 précité, les actes créant les traitements intéressant la sécurité publique contiennent les dispositions mentionnées au second paragraphe de l'article 23 de ce règlement. Pour ces traitements, les alinéas 1 à 3 de l'article 92 sont applicables.
Lorsqu'une demande est présentée sur place, la personne concernée justifie par tout moyen de son identité auprès du responsable du traitement ou du sous-traitant. Il peut se faire assister d'un conseil de son choix. La demande peut être également présentée par une personne spécialement mandatée à cet effet par le demandeur, après justification de son mandat, de son identité et de l'identité du mandant.
Lorsque la demande ne peut être satisfaite immédiatement, il est délivré à son auteur un avis de réception, daté et signé.
Lorsque les opérations de vérification nécessitent l'accès à des données médicales individuelles, dans les cas prévus au III de l'article 44 de la loi du 6 janvier 1978 susvisée, le préfet ou, selon le cas, le directeur général de l'agence régionale de santé dans le ressort territorial duquel doit avoir lieu le contrôle désigne, à la demande du président de la commission, un médecin inspecteur du travail ou un médecin chargé de requérir la communication de ces données ; le président de la commission peut également désigner un médecin inscrit sur une liste d'experts judiciaires. Le président de la commission définit les conditions d'exercice de la mission confiée au médecin selon les formes prescrites aux premier et deuxième alinéas de l'article 67.
Préalablement aux opérations de vérification requises, le médecin désigné atteste auprès du président de la commission qu'il répond aux conditions posées aux articles 57 à 60.
Le médecin présente en réponse à toute demande son ordre de mission.
Le médecin consigne dans un rapport les vérifications qu'il a faites sans faire état, en aucune manière, des données médicales individuelles auxquelles il a eu accès.
Le rapport est remis au président de la commission qui en adresse une copie au responsable du traitement ou du sous-traitant.
La communication à la Commission nationale de l'informatique et des libertés des coordonnées prévues au 7 de l'article 37 du règlement (UE) 2016/679 du 27 avril 2016 précité et à l'article 70-17 de la loi du 6 janvier 1978 susvisée comporte les mentions suivantes :
 1° Les nom, prénom et coordonnées professionnelles du responsable du traitement ou du sous-traitant ou, le cas échéant, ceux de son représentant, ainsi que ceux du délégué à la protection des données. Pour les personnes morales responsables du traitement et les sous-traitants, leur dénomination, leur siège social ainsi que l'organe qui les représente légalement ;
 2° Lorsque le délégué à la protection des données est une personne morale, les mêmes renseignements concernant le préposé que la personne morale a désigné pour exercer les missions de délégué.
 Les coordonnées mentionnées au 1° et au 2° sont communiquées sans délai à la Commission nationale de l'informatique et des libertés par voie électronique ainsi que toutes modifications de celles-ci.
 La dénomination et les coordonnées professionnelles de l'organisme ainsi que les moyens de contacter le délégué à la protection des données font l'objet d'une diffusion dans un format ouvert et aisément réutilisable par la Commission nationale de l'informatique et des libertés.
Conformément à l'article 37 du règlement (UE) 2016/679 du 27 avril 2016 précité, les responsables du traitement ou les sous-traitants peuvent désigner un seul délégué à la protection des données qui exercent sa mission pour le compte de plusieurs d'entre eux.
 Lorsque les collectivités territoriales, leurs groupements, les établissements publics locaux, et les personnes morales de droit privé gérant un service public désignent un seul délégué à la protection des données, une convention détermine les conditions dans lesquelles s'exerce la mutualisation. Chacune des parties à la mutualisation demeure responsable du traitement.
Un délégué à la protection des données est désigné par le responsable du traitement ou par le sous-traitant en application de l'article 37 du règlement (UE) 2016/679 du 27 avril 2016 précité et de l'article 70-17 de la loi du 6 janvier 1978 susvisée.
 Le délégué veille au respect des obligations prévues par le règlement (UE) 2016/679 du 27 avril 2016 précité et par la loi du 6 janvier 1978 susvisée, sauf en ce qui concerne les traitements qui intéressent la sûreté de l'Etat et la défense.
Les personnes accueillies dans les établissements ou les centres où s'exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d'un traitement de données à caractère personnel dans le domaine de la santé sont informées individuellement des mentions prescrites par le règlement (UE) 2016/679 du 27 avril 2016 précité par la remise d'un document ou par tout autre moyen approprié leur permettant de prendre utilement connaissance de ces mentions.
Les décisions que la commission adopte en application de l'avant-dernier alinéa de l'article 69 et de l'article 70 de la loi du 6 janvier 1978 susvisée sont notifiées au responsable du traitement par lettre remise contre signature dans un délai de huit jours. Ces décisions mentionnent les voies et délais de recours ouverts au responsable du traitement pour les contester.
   Elles sont transmises au commissaire du Gouvernement.
   Les décisions par lesquelles la commission autorise ou suspend les transferts de données à caractère personnel vers des Etats n'appartenant pas à la Communauté européenne sont notifiées, dans les huit jours suivant leur adoption, à la Commission européenne.
   La commission informe dans le même délai les autorités de contrôle des autres Etats membres de la Communauté européenne des décisions d'autorisation mentionnées à l'alinéa précédent.
Lorsque le responsable du traitement envisage un transfert de données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne ne présentant pas un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, postérieurement à la mise en oeuvre d'un traitement, il est fait application des dispositions des articles 101 à 103, y compris pour les transferts de données issues d'un traitement initialement dispensé de déclaration en application du II ou du III de l'article 22 de la loi du 6 janvier 1978 susvisée ou d'un traitement autorisé en application du II de l'article 25 de la même loi.
   Le responsable d'un traitement visé au III de l'article 22 de la loi précitée procède alors concomitamment aux formalités de déclaration prévues au titre II.
Pour faciliter l'exercice du droit d'opposition prévu au deuxième alinéa de l'article 38 de la loi du 6 janvier 1978 susvisée, l'intéressé est mis en mesure d'exprimer son choix avant la validation définitive de ses réponses.
   Lorsque la collecte des données intervient par voie orale, l'intéressé est mis en mesure d'exercer son droit d'opposition avant la fin de la collecte des données le concernant.
Le responsable du traitement porte directement à la connaissance des personnes auprès desquelles sont recueillies des données à caractère personnel les informations énumérées au I de l'article 32 de la loi du 6 janvier 1978 susvisée sur le support de collecte ou, à défaut, sur un document préalablement porté à leur connaissance en caractères lisibles. En application du 6° du I du même article, il les informe également, dans les mêmes conditions, des coordonnées du service compétent auprès duquel elles peuvent exercer leurs droits d'opposition, d'accès et de rectification. Lorsque la collecte des données est opérée oralement à distance, il est donné lecture de ces informations aux intéressés en leur indiquant qu'ils peuvent, sur simple demande, même exprimée oralement, recevoir postérieurement ces informations par écrit.
   Les informations mentionnées à l'alinéa précédent peuvent être communiquées aux intéressés, avec leur accord, par voie électronique.
   Lorsque les informations sont portées à la connaissance de l'intéressé par voie d'affichage, il lui est indiqué qu'il peut, sur simple demande orale ou écrite, recevoir ces informations sur un support écrit.
Lorsque le responsable de traitement envisage un transfert de données à caractère personnel qui requiert une décision ou un avis prévus à l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 susvisée, il précise à la commission, outre les informations prévues à l'article 101, les mesures ou le dispositif destinés à garantir un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes.
   La commission se prononce, pour ce qui concerne les autorisations de transfert, selon la procédure prévue au III de l'article 25 de la loi susmentionnée, et, pour ce qui concerne les avis sur les transferts, selon la procédure prévue à l'article 28 de la même loi.
Lorsque le responsable du traitement envisage un transfert de données à caractère personnel vers un pays qui ne figure pas dans la liste prévue à l'article 108 et qu'il invoque pour justifier ce transfert une exception prévue aux 1° à 6° de l'article 69 de la loi du 6 janvier 1978 susvisée, il indique à la commission, outre les informations prévues à l'article 101, laquelle de ces exceptions il invoque.
La demande d'accès peut être effectuée par écrit.
   Lorsque le responsable du traitement permet la consultation des données sur place, celle-ci n'est possible que sous réserve de la protection des données personnelles des tiers. Sauf disposition législative ou réglementaire contraire, une copie des données à caractère personnel du demandeur peut être obtenue immédiatement.
   Afin que le demandeur puisse en prendre pleinement connaissance, le responsable de traitement met à la disposition de l'intéressé toutes les données qui le concernent et pendant une durée suffisante.
   Lors de la délivrance de la copie demandée, le responsable de traitement atteste, le cas échéant, du paiement de la somme perçue à ce titre.
I. - Sont abrogés :
   1° Le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres Ier à IV et VII de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
   2° Le décret n° 79-1160 du 28 décembre 1979 fixant les conditions d'application aux traitements d'informations nominatives intéressant la sûreté de l'Etat, la défense et la sécurité publique de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
   3° Le décret n° 81-1142 du 23 décembre 1981 instituant des contraventions de police en cas de violation de certaines dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
   II. - L'article 4 du décret du 11 juin 1999 susvisé est abrogé.
Les dispositions du présent décret sont applicables à Mayotte, dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises, sous réserve des adaptations suivantes :
   1° Le remboursement des frais prévus à l'article 6 intervient dans les conditions prévues par les décrets du 12 avril 1989 et du 22 septembre 1998 susvisés ;
   2° Au premier alinéa de l'article 30, les mots : " dans un délai d'un mois " sont remplacés par les mots : " dans un délai de deux mois " ;
   3° A l'article 31, les mots : " dans un délai qui peut être réduit à quinze jours " sont remplacés par les mots : " dans un délai qui peut être réduit à un mois " ;
   4° Aux articles 61 et 87-1, les mots : " procureur de la République " sont remplacés par les mots : " procureur de la République près le tribunal de première instance ", sauf pour les Terres australes et antarctiques françaises ;
   5° Au deuxième alinéa de l'article 66, les mots : " au moins huit jours avant la date de son audition " sont remplacés par les mots : " au moins un mois avant la date de son audition " ;
   6° A l'article 68, les mots : " le préfet dans le ressort territorial duquel doit avoir lieu le contrôle " sont remplacés par les mots :
   a) " Le haut-commissaire de la République ", en Polynésie française et en Nouvelle-Calédonie ;
   b) " L'administrateur supérieur des îles Wallis et Futuna ", dans les îles Wallis et Futuna ;
   c) " L'administrateur supérieur des Terres australes et antarctiques françaises ", dans les Terres australes et antarctiques françaises ;
   7° A l'article 75, les mots : " dispose d'un délai d'un mois " sont remplacés par les mots : " dispose d'un délai de deux mois " ;
   8° Au premier alinéa de l'article 94, les mots : "dans le dél ai de deux mois" sont remplacés par les mots : "dans le délai de trois mois" ;
   9° A l'article 100, les mots : "par la production d'un acte d e notoriété ou d'un livret de famille" sont remplacés par les mots :

 "par tous moyens".
I. - Lorsque l'acte réglementaire créant un traitement mentionné au I de l'article 21 de la loi du 18 mars 2003 susvisée prévoit un droit d'accès indirect, les demandes concernant le traitement de données à caractère personnel placé sous le contrôle du procureur de la République sont instruites selon les modalités suivantes :
   La demande est adressée à la Commission nationale de l'informatique et des libertés. Elle est traitée dans les conditions prévues au premier alinéa de l'article 87 dans un délai de six mois. Dès réception de la demande, le responsable du traitement dispose d'un délai d'un mois et demi pour saisir le procureur de la République. Ce délai peut être prorogé d'un mois supplémentaire si le traitement de la demande nécessite des investigations complexes. La commission en est informée par le responsable du traitement. Le procureur de la République dispose d'un délai de trois mois pour se prononcer sur les suites qu'il convient de réserver à la demande. Il communique ses prescriptions au responsable du traitement qui, dans un délai de quinze jours, informe la commission des suites réservées à la demande.
   II. - Toutefois, lorsque l'acte réglementaire visé au I prévoit également l'exercice d'un droit d'accès indirect auprès du procureur de la République, les demandes sont instruites selon les modalités suivantes :
   Le procureur de la République se prononce sur les suites qu'il convient de lui réserver dans un délai de trois mois. Il communique ses prescriptions au responsable du traitement qui, dans un délai d'un mois, informe la Commission nationale de l'informatique et des libertés des suites réservées à la demande de l'intéressé. La commission porte sans délai la décision du responsable du traitement à la connaissance de l'intéressé.