Source: http://www.harmonia-universum.com/cnilretour.html
Timestamp: 2020-04-03 01:25:34+00:00
Document Index: 269336770

Matched Legal Cases: ['art. 41', 'art. 256', "l'article 413", 'art. 333', "l'article 40", "l'article 16", 'art. 257', "l'article 40", "l'article 40", "l'article 226", 'art. 258', 'art. 259', "l'article 18", 'art. 260', 'art. 261', "l'article 36", 'art. 5', "l'article 15", "l'article 15"]

HARMONIA UNIVERSUM CNIL
COMMISSION NATIONALE INFORMATIQUE ET LIBERTE
CNIL http://www.cnil.fr
LOI N° 78-17 DU 6 JANVIER 1978 relative à l'informatique, aux fichiers et aux libertés Seul le texte paru au Journal Officiel a une valeur officielle.
Références Journal Officiel Travaux préparatoires Signatures
Chapitre I Principes et définitions 1er - 2 - 3 - 4 - 5
Chapitre II La CNIL - 6 - 7 - 8 - 9 - 10 - 11 - 12 - 13
Chapitre III Formalités préalables à la mise en oeuvre des traitements 14 - 15 - 16 - 17 - 18 - 19 - 20 - 21 - 22 - 23 - 24
Chapitre IV Collecte, enregistrement et conservation des informations 25 - 26 - 27 - 28 - 29 - 30 - 31 - 32 - 33
Chapitre V Exercice du droit d'accès 34 - 35 - 36 - 37 - 38 - 39 - 40
Chapitre V BIS Domaine de la santé 40-1 - 40-2 - 40-3 - 40-4 - 40-5 - 40-6 - 40-7 - 40-8 - 40-9 - 40-10
Chapitre V TER Analyse des activités de soins et de prévention 40-11 - 40-12 - 40-13 - 40-14 - 40-15
Chapitre VI Dispositions pénales 41 - 42 - 43 - 44
Chapitre VII Dispositions diverses 45 - 46 - 47 - 48
Aucune décision administrative ou privée impliquant une appréciation sur un comportement humain ne peut avoir pour fondement un traitement automatisé d'informations donnant une définition du profil ou de la personnalité de l'intéressé.
Est dénommé traitement automatisé d'informations nominatives au sens de la présente loi tout ensemble d'opérations réalisées par les moyens automatiques, relatif à la collecte, l'enregistrement l'élaboration, la modification, la conservation et la destruction d'informations nominatives ainsi que tout ensemble d'opérations de même nature se rapportant à l'exploitation de fichiers ou bases de données et notamment les interconnexions ou rapprochements, consultations ou communications d'informations nominatives.
Les crédits nécessaires a la commission nationale pour l'accomplissement de sa mission sont inscrits au budget du ministère de la Justice. Les dispositions de la loi du 10 août 1922 relative au contrôle financier ne sont pas applicables à leur gestion. Les comptes de la commission sont présentés au contrôle de la Cour des comptes.
deux députés et deux sénateurs élus, respectivement par l'Assemblée nationale et par le Sénat ;
deux membres du Conseil économique et social, élus par cette assemblée ;
deux membres ou anciens membres du Conseil d'État, dont l'un d'un grade au moins égal à celui de conseiller, élus par l'assemblée générale du Conseil d'État ;
deux membres ou anciens membres de la Cour de cassation, dont l'un d'un grade au moins égal à celui de conseiller, élus par l'assemblée générale de la Cour de cassation ;
deux membres ou anciens membres de la Cour des comptes, dont l'un d'un grade au moins égal à celui de conseiller-maître, élus par l'assemblée générale de la Cour des comptes ;
deux personnes qualifiées pour leur connaissance des applications de l'informatique, nommées par décret sur proposition respectivement du président de l'Assemblée nationale et du président du Sénat ;
trois personnalités désignées en raison de leur autorité et de leur compétence par décret en conseil des ministres.
avec celle de membre du Gouvernement ;
avec l'exercice de fonctions ou la détention de participation dans les entreprises concourant à la fabrication de matériel utilisé en informatique ou en télécommunication ou à la fourniture de services en informatique ou en télécommunication.
La commission peut charger le président ou le vice-président délégué d'exercer ses attributions en ce qui concerne l'application des articles 16, 17 et 21 (4°, 5° et 6°), ainsi que des articles 40-13 et 40-14 (Loi n° 99-641 du 27 juillet , art. 41).
Les membres et les agents de la commission sont astreints au secret professionnel pour les faits, actes ou renseignements dont ils ont pu avoir connaissance en raison de leurs fonctions, dans les conditions prévues (Loi n° 92-1336 du 16 décembre 1992, art. 256) « à l'article 413-10 du code pénal » et, sous réserve de ce qui est nécessaire à l'établissement du rapport annuel prévu ci-après, (Loi n° 92-1336 du 16 décembre 1992, art. 333) « aux articles 226-13 et 226-14 » du code pénal.
La Commission nationale de l'informatique et des libertés veille à ce que les traitements automatisés, publics ou privés d'informations nominatives, soient effectués conformément aux dispositions de la présente loi.
Hormis les cas où ils doivent être autorisés par la loi, les traitements automatisés d'informations nominatives opérés pour le compte de l'État, d'un établissement public ou d'une collectivité territoriale, ou d'une personne morale de droit privé gérant un service public, sont décidés par un acte réglementaire pris après avis motivé de la Commission nationale de l'informatique et des libertés.
Si l'avis de la commission est défavorable, il ne peut être passé outre que par un décret pris sur avis conforme du Conseil d'État ou s'agissant d'une collectivité territoriale, en vertu d'une décision de son organe délibérant approuvée par décret pris sur avis conforme du Conseil d'État.
L'utilisation du répertoire national d'identification des personnes physiques en vue d'effectuer des traitements nominatifs est autorisé par décret en Conseil d'État pris après avis de la commission.
la personne qui présente la demande et celle qui a pouvoir de décider la création du traitement ou, si elle réside à l'étranger, son représentant en France ;
les caractéristiques, la finalité et, s'il y a lieu, la dénomination du traitement ;
le service ou les services chargés de mettre en oeuvre celui-ci ;
le service auprès duquel s'exerce le droit d'accès défini au chapitre V ci-dessous, ainsi que les mesures prises pour faciliter l'exercice de ce droit ;
les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;
si le traitement est destiné à l'expédition d'informations nominatives entre le territoire français et l'étranger, sous quelque forme que ce soit, y compris lorsqu'il est l'objet d'opérations partiellement effectuées sur le territoire français à partir d'opérations antérieurement réalisées hors de France.
Peuvent ne pas comporter certaines des mentions énumérées ci-dessus les demandes d'avis relatives aux traitements automatisés d'informations nominatives intéressant la sûreté de l'État, la défense et la sécurité publique.
la dénomination et la finalité du traitement ;
le service auprès duquel s'exerce le droit d'accès défini au chapitre V ci-dessous ;
les catégories d'informations nominatives enregistrées ainsi que les destinataires ou catégories de destinataires habilités à recevoir communication de ces informations.
Des décrets en Conseil d'État peuvent disposer que les actes réglementaires relatifs à certains traitements intéressant la sûreté de l'État, la défense et la sécurité publique ne seront pas publiés.
Peut, par décision particulière, charger un ou plusieurs de ses membres ou de ses agents, assistés, le cas échéant, d'experts, de procéder, à l'égard de tout traitement, à des vérifications sur place et de se faire communiquer tous renseignements et documents utiles à sa mission ;
Édicte, le cas échéant, des règlements types en vue d'assurer la sécurité des systèmes ; en cas de circonstances exceptionnelles, elle peut prescrire des mesures de sécurité pouvant aller jusqu'à la destruction des supports d'informations ;
Adresse aux intéressés des avertissements et dénonce au parquet les infractions dont elle a connaissance, conformément à l'article 40 du code de procédure pénale ;
Veille à ce que les modalités de mise en oeuvre du droit d'accès et de rectification indiquées dans les actes et déclarations prévus aux articles 15 et 16 n'entravent pas le libre exercice de ce droit ;
Se tient informée des activités industrielles et de services qui concourent à la mise en oeuvre de l'informatique.
La commission met à la disposition du public la liste des traitements, qui précise pour chacun d'eux :
la loi ou l'acte réglementaire décidant de sa création ou la date de sa déclaration ;
le service auprès duquel est exercé le droit prévu au chapitre V ci-dessous ;
Ce rapport décrira notamment les procédures et méthodes de travail suivies par la commission et contiendra en annexe toutes informations sur l'organisation de la commission et de ses services propres à faciliter les relations du public avec celle-ci.
Sur proposition ou après avis de la commission, la transmission entre le territoire français et l'étranger, sous quelque forme que ce soit, d'informations nominatives faisant l'objet de traitements automatisés régis par l'article 16 ci-dessus peut être soumise à autorisation préalable ou réglementée selon des modalités fixées par décret en Conseil d'État en vue d'assurer le respect des principes posés par la présente loi.
Sauf dispositions législatives contraires, les informations ne doivent pas être conservées sous une forme nominative au-delà de la durée prévue à la demande d'avis ou à la déclaration, à moins que leur conservation ne soit autorisée par la commission.
Il est interdit de mettre ou conserver en mémoire informatique, sauf accord exprès de l'intéressé, des données nominatives qui, directement ou indirectement, font apparaître les origines raciales ou les opinions politiques, philosophiques ou religieuses ou les appartenances syndicales (Loi n° 92-1336 du 16 décembre 1992, art. 257) « ou les moeurs » des personnes.
Toutefois, les Églises ou les groupements à caractère religieux, philosophique, politique ou syndical peuvent tenir registre de leurs membres ou de leurs correspondants sous forme automatisée. Aucun contrôle ne peut être exercé, de ce chef, à leur encontre
Pour des motifs d'intérêt public, il peut aussi être fait exception à l'interdiction ci-dessus sur proposition ou avis conforme de la commission par décret en Conseil d'État.
[Abrogé par la loi n° 88-227 du 11 mars 1988, article 13] ..
l'autorisation de ne pas tenir compte de certaines demandes manifestement abusives par leur nombre, leur caractère répétitif ou systématique.
En ce qui concerne les traitements intéressant la sûreté de l'État, la défense et la sécurité publique, la demande est adressée à la commission qui désigne l'un de ses membres appartenant ou ayant appartenu au Conseil d'État, à la Cour de cassation ou à la Cour des comptes pour mener toutes investigations utiles et faire procéder aux modifications nécessaires. Celui-ci peut se faire assister d'un agent de la commission.
Traitements automatisés de données nominatives ayant pour fin la recherche dans le domaine de la santé
(Loi n° 94-548 du 1er juillet 1994, article 1er)
Le comité consultatif dispose d'un mois pour transmettre son avis au demandeur. À défaut, l'avis est réputé favorable. En cas d'urgence, ce délai peut être ramené à quinze jours.
La mise en oeuvre du traitement de données est ensuite soumise à l'autorisation de la Commission nationale de l'informatique et des libertés, qui dispose, à compter de sa saisine par le demandeur, d'un délai de deux mois, renouvelable une seule fois, pour se prononcer. À défaut de décision dans ce délai le traitement de données est autorisé.
Lorsque ces données permettent l'identification des personnes, elles doivent être codées avant leur transmission. Toutefois, il peut être dérogé à cette obligation lorsque le traitement de données est associé à des études de pharmacovigilance ou à des protocoles de recherche réalisés dans le cadre d'études coopératives nationales ou internationales ; il peut également y être dérogé si une particularité de la recherche l'exige. La demande d'autorisation comporte la justification scientifique et technique de la dérogation et, sauf autorisation motivée de la Commission nationale de l'informatique et des libertés donnée après avis du comité consultatif pour le traitement de l'information en matière de recherche dans le domaine de la santé, les données transmises ne peuvent être conservées sous une forme nominative au-delà de la durée nécessaire à la recherche.
de la nature des informations transmises ;
de la finalité du traitement de données ;
des personnes physiques ou morales destinataires des données ;
du droit accès et de rectification institué au chapitre V ;
du droit d'opposition institué aux premier et troisième alinéas de l'article 40-4 ou, dans le cas prévu au deuxième alinéa de cet article, de l'obligation de recueillir leur consentement.
Article 40-7
Article 40-8
La transmission hors du territoire français de données nominatives non codées faisant l'objet d'un traitement automatisé ayant pour fin la recherche dans le domaine de la santé n'est autorisée, dans les conditions prévues à l'article 40-2, que si la législation de l'État destinataire apporte une protection équivalente à la loi française.
Un décret en Conseil d'État précise les modalités d'application du présent chapitre.
Traitement des données personnelles de santé à des fins d'évaluation ou d'analyse des activités de soins et de prévention
(Loi n° 99-641 du 27 juillet , Portant création d'une couverture maladie universelle, article 41)
Article 40-11
Les traitements de données personnelles de santé qui ont pour fin l'évaluation des pratiques de soins et de prévention sont autorisés dans les conditions prévues au présent chapitre. "Les dispositions du présent chapitre ne s'appliquent ni aux traitements de données personnelles effectuées à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d'un régime de base d'assurance maladie, ni aux traitements effectués au sein des établissements de santé par les médecins responsables de l'information médicale dans les conditions prévues au deuxième alinéa de l'article L. 710-6 du code de la santé publique."
Article 40-12
Les données issues des systèmes d'information visés à l'article L. 710-6 du code de la santé publique, celles issues des dossiers médicaux détenus dans le cadre de l'exercice libéral des professions de santé, ainsi que celles issues des systèmes d'information des caisses d'assurance maladie, ne peuvent être communiquées à des fins statistiques d'évaluation ou d'analyse des pratiques et des activités de soins et de prévention que sous la forme de statistiques agrégées ou de données par patient constituées de telle sorte que les personnes concernées ne puissent être identifiées. "Il ne peut être dérogé aux dispositions de l'alinéa précédent que sur autorisation de la Commission nationale de l'informatique et des libertés dans les conditions prévues aux articles 40-13 à 40-15. Dans ce cas, les données utilisées ne comportent ni le nom, ni le prénom des personnes, ni leur numéro d'inscription au Répertoire national d'identification des personnes physiques."
Pour chaque demande, la commission vérifie les garanties présentées par le demandeur pour l'application des présentes dispositions et, le cas échéant, la conformité de sa demande à ses missions ou à son objet social. Elle s'assure de la nécessité de recourir à des données personnelles et de la pertinence du traitement au regard de sa finalité déclarée d'évaluation ou d'analyse des pratiques ou des activités de soins et de prévention. Elle vérifie que les données personnelles dont le traitement est envisagé ne comportent ni le nom, ni le prénom des personnes concernées, ni leur numéro d'inscription au Répertoire national d'identification des personnes physiques. En outre, si le demandeur n'apporte pas d'éléments suffisants pour attester la nécessité de disposer de certaines informations parmi l'ensemble des données personnelles dont le traitement est envisagé, la commission peut interdire la communication de ces informations par l'organisme qui les détient et n'autoriser le traitement que des données ainsi réduites. "La commission détermine la durée de conservation des données nécessaires au traitement et apprécie les dispositions prises pour assurer leur sécurité et la garantie des secrets protégés par la loi."
La commission dispose, à compter de sa saisine par le demandeur, d'un délai de deux mois, renouvelable une seule fois, pour se prononcer. A défaut de décision dans ce délai, ce silence vaut décision de rejet. Les modalités d'instruction par la commission des demandes d'autorisation sont fixées par décret en Conseil d'Etat. "Les traitements répondant à une même finalité portant sur des catégories de données identiques et ayant des destinataires ou des catégories de destinataires identiques peuvent faire l'objet d'une décision unique de la commission."
Article 40-15
Les traitements autorisés conformément aux articles 40-13 et 40-14 ne peuvent servir à des fins de recherche ou d'identification des personnes. Les personnes appelées à mettre en oeuvre ces traitements, ainsi que celles qui ont accès aux données faisant l'objet de ces traitements ou aux résultats de ceux-ci lorsqu'ils demeurent indirectement nominatifs, sont astreintes au secret professionnel sous les peines prévues à l'article 226-13 du code pénal. "Les résultats de ces traitements ne peuvent faire l'objet d'une communication, d'une publication ou d'une diffusion que si l'identification des personnes sur l'état desquelles ces données ont été recueillies est impossible."
(Loi n° 92-1336 du 16 décembre 1992, art. 258)
(Loi n° 92-1336 du 16 décembre 1992, art. 259)
Le fait d'utiliser le Répertoire national d'identification des personnes physiques sans l'autorisation prévue à l'article 18 est puni de cinq ans d'emprisonnement et de 2 000 000 F d'amende.
(Loi n° 92-1336 du 16 décembre 1992, art. 260)
Est puni d'un an d'emprisonnement et de 100 000 F d'amende le fait d'entraver l'action de la Commission nationale de l'informatique et des libertés :
Soit en s'opposant à l'exercice de vérifications sur place ;
Soit en refusant de communiquer à ses membres, à ses agents ou aux magistrats mis à sa disposition, les renseignements et documents utiles à la mission qui leur est confiée par la commission ou en dissimulant lesdits documents ou renseignements, ou encore en les faisant disparaître ;
Soit en communiquant des informations qui ne sont pas conformes au contenu des enregistrements au moment où la demande a été formulée ou qui ne le présentent pas sous une forme directement intelligible.
[Abrogé par la loi n° 92-1336 du 16 décembre 1992, art. 261
Les dispositions des articles 25, 27, 29,30, 31, 32 et 33 relatifs à la collecte, à l'enregistrement et à la conservation des informations nominatives sont applicables aux fichiers non automatisés ou mécanographiques autres que ceux dont l'usage relève du strict exercice du droit à la vie privée.
Toute personne justifiant de son identité a le droit d'interroger les services ou organismes qui détiennent des fichiers mentionnés au premier alinéa du présent article en vue de savoir si ces fichiers contiennent des informations nominatives la concernant. Le titulaire du droit d'accès a le droit d'obtenir communication de ces informations ; il peut exiger qu'il soit fait application des trois premiers alinéas de l'article 36 de la présente loi relatifs au droit de rectification. Les dispositions des articles 37, 38, 39 et 40 sont également applicables. Un décret en Conseil d'État fixe les conditions d'exercice du droit d'accès et de rectification ; ce décret peut prévoir la perception de redevances pour la délivrance de copies des informations communiquées.
Le Gouvernement, sur proposition de la Commission nationale de l'informatique et des libertés, peut décider, par décret en Conseil d'État, que les autres dispositions de la présente loi peuvent, en totalité ou en partie, s'appliquer à un fichier ou à des catégories de fichiers non automatisés ou mécanographiques qui présentent, soit par eux-mêmes, soit par la combinaison de leur emploi avec celui d'un fichier informatisé, des dangers quant à la protection des libertés.
Des décrets en Conseil d'État fixeront les modalités d'application de la présente loi. Ils devront être pris dans un délai de six mois à compter de sa promulgation. Ces décrets détermineront les délais dans lesquels les dispositions de la présente loi entreront en vigueur. Ces délais ne pourront excéder deux ans à compter de la promulgation de ladite loi.
La présente loi est applicable à Mayotte et aux territoires d'outre-mer (Loi n° 94-548 du ler juillet 1994, art. 5) « à l'exception du chapitre V bis ».
À titre transitoire, les traitements régis par l'article 15 ci-dessus, et déjà créés, ne sont soumis qu'à une déclaration auprès de la Commission nationale de l'informatique et des libertés dans les conditions prévues aux articles 16 et 17.
À l'expiration d'un délai de deux ans à compter de la promulgation de la présente loi, tous les traitements régis par l'article 15 devront répondre aux prescriptions de cet article.
le 6 janvier 1978,
Le ministre de l 'Équipement et de l'Aménagement du territoire,
la loi n° 88-227 du 11 mars 1988, article 13 relative à la transparence financière de la vie politique (JO du 12 mars 1988),
et la loi n° 99-641 du 27 juillet , (JO du 28 juillet ).
Projet de loi (n° 2516) et propositions de loi (n° 1004 et n° 3092) ;
Rapport de M. Jacques Thyraud, au nom de la commission des lois, n° 72 (1977 -1978) ;
Rapport de M. Foyer, au nom de la commission des lois (n° 3352) :
Rapport de M. Jacques Thyraud. au nom de la commission des lois, n° 199 (1977-1978) ;