AgentPublic/cnil huggingface dataset:
Les organismes mentionnés à l’article 1er ci-dessous, qui se réfèreront à la présente autorisation unique (n° BCR-039) et adresseront à la Commission un engagement de conformité à celle-ci,  seront autorisés à mettre en œuvre leurs transferts.
Un transfert ne peut être autorisé que dans la mesure où :
lorsque cela est requis, la formalité relative au traitement auquel ce transfert se rattache a été dûment accomplie auprès de la Commission nationale de l’informatique et des libertés, et 
le transfert est réalisé dans le strict respect du cadre défini par cette formalité.
Tout transfert de données à caractère personnel qui excèderait le cadre ou les exigences définis par la présente autorisation unique devra faire l’objet d’une décision d’autorisation spécifique.
Article 1er : Sur les responsables de traitement / champ d’application
Seules les entités du groupe Deutsche Post DHL (DHL), agissant en qualité de responsable de traitement, étant juridiquement liées par les BCR responsable de traitement du groupe Deutsche Post DHL (DHL), et ayant mis en œuvre les engagements pris au titre des BCR peuvent adresser un engagement de conformité à la présente autorisation unique.
Article 2 : Sur les finalités des transferts
Conformément au champ matériel et à la description des transferts couverts par les BCR « responsable de traitement » du groupe Deutsche Post DHL (DHL), et à leurs annexes, seuls sont autorisés les transferts de données à caractère personnel ayant pour finalités :
celles relatives aux transferts des données personnelles des salariés, prestataires, consultants, intérimaires et stagiaires :
gestion administrative des personnels ;
mise à disposition des personnels d'outils informatiques ;
gestion des carrières et de la mobilité ;
gestion du recrutement.
celles relatives aux transferts des données personnelles des clients (actuels ou potentiels) :
effectuer les opérations relatives à la gestion des clients.
Article 3 : Sur les catégories de données personnelles transférées
Conformément au champ matériel et à la description des transferts couverts par les BCR « responsable de traitement » du groupe Deutsche Post DHL et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les catégories de données à caractère personnel suivantes :
Pour les transferts relatifs aux données personnelles des salariés, prestataires, consultants, intérimaires et stagiaires :
état civil/identité/données d’identification ;
vie professionnelle ;
vie personnelle ;
données de connexion ;
données de localisation.
Pour les transferts relatifs aux données personnelles des clients :
état civil/identité/données d’identification ;
vie personnelle ;
vie professionnelle ;
informations d’ordre économique et financier.
Article 4 : Sur les catégories de personnes concernées par les transferts
Conformément au champ matériel et à la description des transferts couverts par les BCR responsable de traitement du groupe Deutsche Post DHL (DHL) et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les données à caractère personnel relatives aux catégories de personnes suivantes :
salariés ;
prestataires ;
consultants ;
intérimaires ;
stagiaires ;
clients (actuels ou potentiels).
Article 5 : Sur les destinataires habilités à accéder aux données transférées
Seules peuvent être habilitées à accéder aux données les entités du groupe Deutsche Post DHL (DHL) juridiquement liées aux BCR responsable de traitement du groupe Deutsche Post DHL (DHL) dont la liste à jour a été fournie à la Commission nationale de l'informatique et des libertés.
Article 6 : Sur les informations relatives à chaque transfert
Les responsables de traitement doivent tenir à disposition des services de la Commission nationale de l'informatique et des libertés une liste (cf. modèle proposé en annexe 1 de la présente délibération) détaillée et à jour des transferts effectués sur la base des BCR « responsable de traitement » du groupe Deutsche Post DHL (DHL), précisant, pour chaque transfert, les informations suivantes :
la finalité générale du transfert ;
la ou les catégories de données à caractère personnel transférées ;
la ou les catégories de personnes concernées par le transfert ;
les informations relatives à chaque destinataire des données :
raison sociale ;
nom du groupe auquel le destinataire appartient et ayant adopté des BCR « responsable de traitement » ;
pays d’établissement ;
catégorie de destinataire (ex : maison-mère, filiale) et 
nature du traitement opéré par ce dernier. 
Article 7 : Sur les droits d'accès, de rectification et d'opposition des personnes
Les droits d’accès, de rectification et d’opposition des personnes concernées définis au chapitre V de la loi du 6 janvier 1978 modifiée s’exercent auprès du ou des services que les responsables de traitement auront désignés.
Article 8 : Sur l'information des personnes
Les responsables de traitement doivent avoir clairement informé les personnes concernées de l’existence de transferts de données vers des pays tiers et des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, dans les conditions prévues par les dispositions des articles 90 et 91 du décret du 20 octobre 2005 modifié. 
La présente délibération sera publiée au Journal officiel de la République française.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
Annexe 1 : Modèle de documentation sur les transferts de données à caractère personnel encadrés par des BCR « responsable de traitement »
Transfert n°1
Modifications 
(préciser la date et l’objet)
Date de mise en œuvre
Finalité générale du transfert
Catégories de personnes concernées
Nature des données personnelles transférées
Destinataire 1
Raison sociale
Pays d’établissement
Type de destinataire
(ex : maison-mère, filiale)
Nature du traitement opéré par le destinataire 
(ex : lecture seule, saisie)
Destinataire 2
Raison sociale
Pays d’établissement
Type de destinataire 
(ex : maison-mère, filiale)
Nature du traitement opéré par le destinataire 
(ex : lecture seule, saisie)
La Commission nationale de l'informatique et des libertés,
Saisie par le centre universitaire de recherche sur l’action publique et le politique, épistémologie et sciences sociales (CURAPP-ESS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la réalisation d’une étude sur la citoyenneté politique des personnes handicapées ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code électoral, notamment ses articles L. 28 et R. 16 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Responsable du traitement
Le centre universitaire de recherche sur l’action publique et le politique, épistémologie et sciences sociales (CURAPP-ESS), rattaché à l’université de Picardie Jules Verne (UPJV), est le responsable de traitement.
Sur la finalité
L’enquête a pour objet l’étude de la citoyenneté politique des personnes handicapées à l’occasion de la séquence électorale d’avril-juin 2017. Ce projet de recherche, d’une durée de 36 mois, fait l’objet d’un financement par la région Hauts-de-France.
Cette étude est la première analyse réalisée en France concernant le droit de vote des personnes handicapées, reconnu comme un droit fondamental par la Convention relative aux droits des personnes handicapées. Elle vise à mesurer l’accès effectif de ces personnes à la citoyenneté politique, objectif notamment poursuivi par la loi n° 2005-102 du 11 février 2005 modifiée pour l'égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées.
Plus précisément, l’objet de la recherche est d’élaborer des indicateurs et d’analyser les modalités de participation, d’inscription sur les listes électorales et de formation des opinions politiques chez les personnes handicapées.
Dès lors, le traitement des données à caractère personnel nécessaires à cette enquête implique la collecte de données relatives aux opinions politiques, collectées avec le consentement exprès des personnes concernées conformément aux dispositions de l’article 8-II-1° de la loi du 6 janvier 1978 modifiée, ainsi que de données relatives à la santé de ces personnes. La Commission considère que la collecte de ces données sensibles est justifiée par l’intérêt public, au sens des dispositions de l’article 8-IV de la même loi, et que ce traitement doit dès lors faire l’objet d’une autorisation de la Commission, conformément à l’article 25-I-1° de la loi précitée.
Au regard de ces éléments, la Commission estime que les finalités du traitement sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
En pratique, la méthodologie employée articule approches qualitative et quantitative.
Ainsi, il est prévu de conduire des entretiens panélisés avec une vingtaine de personnes tout au long du processus électoral, afin d’étudier, par analyse de ces matériaux textuels, la formation des préférences politiques, et non pas, à titre principal, leur contenu ou leur orientation, qui sont néanmoins susceptibles d’être recueillis.
L’approche quantitative vise quant à elle à produire des données chiffrées sur les modalités de participation des personnes handicapées au processus électoral, en tenant compte de la diversité des situations de handicap. Pour cela, le CURAPP-ESS prévoit d’étudier la corrélation entre des informations relatives au handicap et à la participation au vote.
Ainsi, les Maisons départementales des personnes handicapées (MDPH) du Nord, de la Somme et des Yvelines seront impliquées dans l’étude : 1100 personnes atteintes de handicap seront tirées aléatoirement au sein de chaque MDPH, qui communiquera à l’équipe de recherche les données les concernant. Le CURAPP-ESS procèdera ensuite au rapprochement de ce fichier avec les données figurant sur les listes électorales et les listes d’émargement recueillies auprès des mairies ou des préfectures.
Dans le cadre de l’ensemble de ces travaux, les membres de l’équipe de recherche s’engagent à respecter la charte d’éthique de l’Association Française de Science Politique. En particulier, la restitution des résultats de l’étude sous la forme d’articles scientifiques, d’ouvrages ou de conférences sera réalisée de façon à préserver l’anonymat des personnes concernées, par exemple en retirant les éléments potentiellement identifiants (lieux, dates, ou tout autres détails susceptible de mené à une identification). Ces personnels seront en outre assistés dans leurs travaux par un comité d’éthique, composé de représentants d’associations, de statisticiens et de personnes qualifiées.
Sur les données traitées
Les catégories de données suivantes font l’objet d’un traitement dans le cadre de l’étude, dans son volet qualitatif ou quantitatif :
données d’état civil : nom, prénom, adresse, date et lieu de naissance, ainsi que, le cas échéant, les mesures de protection juridique dont les personnes bénéficient (curatelle et tutelle) ;
données relative à la vie personnelle : situation familiale ;
données professionnelles : situation professionnelle, scolarité ;
données d’ordre économique et financier : revenus ;
données de santé : type de handicap, données relatives aux soins le cas échéant ;
données relatives à la participation à la vie citoyenne et, le cas échéant, aux opinions politiques, pour le seul volet qualitatif de l’étude.
Ces données sont collectées par l’intermédiaire des MDPH pour les personnes faisant l’objet de l’étude et par le biais des listes électorales et des listes d’émargement.
En ce qui concerne les données de santé, la Commission relève que le dossier médical des personnes concernées ne sera en aucun cas communiqué au responsable de traitement et que les fichiers transmis par les MDPH seront regroupés en deux bases de données : la première contenant uniquement les informations relatives au handicap, afin d’élaborer une typologie exploitable, la seconde contenant les informations relatives à l’état civil et au domicile, permettant le rapprochement avec les listes électorales et les listes d’émargement. Un numéro non-signifiant sera en outre attribué aux personnes concernées et enregistré dans cette seconde base de données, afin de permettre le rapprochement des fichiers.
La Commission estime que les données enregistrées sont adéquates, pertinentes et non excessives au regard des finalités du traitement, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les accédants et les destinataires
L’équipe de recherche, composée de six personnes, chargée de la mise en œuvre de l’étude est seule destinataire des données du traitement.
Seule une personne de cette équipe aura accès à l’intégralité des données mises à disposition par les MDPH, afin de permettre la mise en relation entre l’identité des personnes et la nature de leur handicap. A l’exception de cette personne, soumise à des obligations particulières de confidentialité, aucun destinataire ne pourra accéder à des données permettant d’associer les noms et prénoms aux informations relevant du handicap des personnes.
Ces destinataires n'appellent pas d'observation particulière de la part de la Commission.
Sur l’information et les droits des personnes
Concernant le volet qualitatif de l’étude, les entretiens seront réalisés avec le consentement des personnes concernées. La Commission rappelle à cet égard que le consentement de leurs représentants légaux devra, le cas échéant, être recueilli et que le consentement exprès des personnes concernées et de leurs représentants devra également être recueilli pour permettre la collecte de données relatives aux opinions politiques.
Les personnes concernées seront informées des éléments mentionnés à l’article 32 de la loi du 6 janvier 1978 modifiée, par divers canaux : campagne d’affichage dans les MDPH, affichage d’un bandeau sur le site internet des MDPH et articles dans la presse locale et institutionnelle du conseil départemental. L’objet et le protocole de l’étude seront présentés, ainsi que les modalités d’exercice des droits d’opposition pour motifs légitimes, d’accès et de rectification dont bénéficient les personnes concernées en application des articles 38 à 40 de la loi du 6 janvier 1978 modifiée.
Ces droits s’exerceront directement auprès du CURAPP-ESS, ce qui n’appelle pas d’observation particulière de la part de la Commission.
La Commission relève en outre que les associations représentatives de personnes handicapées siégeant en Commission des droits et de l’autonomie des personnes handicapées (CDAPH), instituées par la loi n° 2005-102 du 11 février 2005 précitée, seront également informées de cette étude et de ses modalités de réalisation.
Sur les mesures de sécurité
Les données sont transmises au CURAPP-ESS par les MDPH du Nord et des Yvelines par le biais d’un outil de transmission de fichier assurant l’authentification des destinataires, la confidentialité et l’intégrité des transmissions, ainsi qu’une gestion des habilitations permettant d’attribuer les accès aux seules données nécessaires aux destinataires. Pour la MDPH de la Somme, un support chiffré conformément aux recommandations de la Commission est remis en main propre au coordinateur du projet.
Les données ainsi recueillies sont ensuite conservées sur un disque dur faisant l’objet de mesures de chiffrement et n’étant connecté à aucun réseau. Les listes électorales et d’émargement collectées sont également stockées sur ce support.
Les bases de données de travail sont conservées sur un espace de travail partagé, dénommé My Core et mis en œuvre par le CNRS, dont l’accès est sécurisé au moyen du protocole HTTPS. La Commission recommande à cet égard d’utiliser la version de TLS la plus à jour.
Chaque utilisateur dispose pour accéder à l’espace partagé d'un identifiant qui lui est propre. Une politique de mot de passe satisfaisant les exigences de la Commission est mise en œuvre, impliquant que ceux-ci soient composés de huit caractères minimum (comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux), qu’ils soient définis, ou modifiés dès la première connexion, par l’utilisateur, puis régulièrement renouvelés et ne soient pas stockés en clair.
Une journalisation des opérations effectuées sur l’espace de travail est réalisée pour la consultation, la création, la modification et la suppression des données.
Les postes informatiques prenant part au traitement sont protégés par mot de passe et font l’objet d’une protection antivirus régulièrement mise à jour.
En plus des mécanismes de sauvegarde proposés par la solution My Core, des sauvegardes régulières sont réalisées sur un disque dur faisant l’objet de mesures de chiffrement. Ce support est conservé dans un endroit garantissant sa sécurité et sa disponibilité.
La sécurité physique des locaux hébergeant les matériels prenant part au traitement est également assurée.
La Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données collectées et traitées pour les besoins de l’étude sont conservées pendant la durée de la recherche, c'est-à-dire pendant 36 mois à compter du début de l’étude.
Néanmoins, les données sont conservées sous une forme nominative pendant une durée maximale de 18 mois, soit le temps nécessaire à la codification des données en vue de la réalisation de traitements statistiques. Les données identifiantes fournies par les MDPH et par les mairies ou préfectures sont effacées dès que ce traitement aura été réalisé.
La Commission estime dès lors que la durée de conservation prévue n’excède pas la durée nécessaire aux finalités pour lesquelles les données sont traitées, conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, le Centre universitaire de recherche sur l’action publique et le politique, épistémologie et sciences sociales (CURAPP-ESS), à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental de la Seine-Maritime d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion des demandes et renouvellements des agréments des assistants maternels et familiaux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 421-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu la loi n° 2005-706 du 27 juin 2005 relative aux assistants maternels et aux assistants familiaux ;
Vu la loi n° 2010-625 du 9 juin 2010 relative à la création des maisons d’assistants maternels et portant diverses dispositions relatives aux assistants maternels ;
Vu la loi n° 2016-457 du 14 avril 2016 relative à l’information de l’administration par l’autorité judiciaire et à la protection des mineurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2006-1153 du 14 septembre 2006 relatif à l’agrément des assistants maternels et des assistants familiaux et modifiant le code de l’action sociale et des familles (partie réglementaire) ;
Vu le décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels ;
Vu le décret n° 2014-918 du 18 août 2014 relatif au référentiel fixant les critères d’agrément des assistants familiaux ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Marie-France MAZARS, commissaire en son rapport, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil départemental de la Seine-Maritime.
Sur la finalité
Le traitement automatisé de données à caractère personnel a pour finalités :
la gestion des demandes des agréments des assistants maternels et familiaux ;
le renouvellement des agréments des assistants maternels et familiaux ;
la formation des assistants maternels.
L’article L. 421-3 du code de l’action sociale et des familles prévoit que l’agrément nécessaire pour exercer la profession d’assistant maternel ou d’assistant familial est délivré par le président du Conseil départemental du département où le demandeur réside.
Des référentiels approuvés par décret en Conseil d’Etat fixent les critères d’agrément des assistants maternels et familiaux (le décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels, et le décret n° 2014-918 du 18 août 2014 relatif au référentiel fixant les critères d’agrément des assistants familiaux).
L’agrément est accordé à ces deux professions si les conditions d’accueil garantissent la sécurité, la santé et l’épanouissement des mineurs et majeurs de moins de vingt et un ans accueillis, en tenant compte des aptitudes éducatives de la personne.
La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
Les données collectées auprès des assistants maternels sont prévues par un arrêté du 18 octobre 2016 fixant le modèle de formulaire en vue de l’agrément des assistants maternels et la composition du dossier de demande d’agrément.
Celles collectées auprès des assistants familiaux sont prévues par un arrêté du 3 février 2017 fixant le modèle de formulaire en vue de l’agrément d’assistant familial et la composition du dossier de demande d’agrément.