AgentPublic/cnil huggingface dataset:
sens.S'agissant des usagers concernés par un compte  association , la commission rappelle que l'utilisation de SP2016 peut nécessiter le traitement de données à caractère personnel, en particulier en ce qui concerne les représentants de ces structures associatives. A cet égard, elle relève que l'arrêté mentionne la  profession/fonction  de l'usager créateur de ce type de compte. La commission rappelle que cette  profession  doit uniquement concerner celle exercée dans le cadre de la structure associative concernée.Enfin, et dans la continuité de ses précédents avis en la matière, la commission prend acte que la DILA a mentionné, au projet d'arrêté, le recours à des référentiels préétablis qui facilitent et fiabilisent la saisie par l'usager des données le concernant. Elle rappelle que ces référentiels doivent être complétés de  champs libres  afin de prendre en compte toute situation particulière.Sous ces réserves, la commission considère que les données traitées par le dispositif  SP2016  sont pertinentes, adéquates et non excessives, conformément à l'article 6 (3°) de la loi du 6 janvier 1 978 modifiée.Sur les destinataires :L'article 4 du projet d'arrêté prévoit que les destinataires de données traitées par le dispositif SP2016 sont uniquement  les autorités administratives habilitées, en vertu d'un texte législatif ou réglementaire, à instruire les démarches administratives des usagers .A cet égard, la commission prend acte que ces autorités administratives ne pourront
accéder au dispositif que sous réserve d'avoir conclu une convention avec le Premier ministre. Ces conventions doivent permettre à la DILA de s'assurer que les destinataires n'accèdent qu'aux données strictement nécessaires pour la démarche entreprise, de rappeler qu'il leur appartient de mettre en œuvre des mesures sécurité adaptées à chaque contexte de dématérialisation et de vérifier que les traitements de données à caractère personnel mis en œuvre font l'objet de formalités préalables.Dès lors, la commission demande à ce qu'un modèle type de ces conventions lui soit communiqué et que les conventions signées soient tenues à disposition.Sur la durée de conservation des données :L'article 5 du même projet d'arrêté décrit plus particulièrement une procédure de gestion de  comptes inactifs  qui prévoit une durée maximale de conservation de trente-six mois, à compter de la dernière connexion de l'usager. En l'absence de réponse aux trois messages d'informations adressés par la DILA un an, deux mois puis sept jours avant l'éventuelle suppression du compte, le compte est fermé et l'ensemble de son contenu est détruit.La commission rappelle que ces délais concernent également la conservation des pièces justificatives stockées dans l'espace personnel accessible en ligne.Pour la DILA, cette durée de conservation de l'ensemble des données et pièces justificatives doit permettre à l'usager d'accéder aux données utiles le temps qui correspond à la durée moyenne des prescriptions en
matière de procédure administrative.S'agissant des données saisies dans un formulaire pour entreprendre une démarche administrative, l'article 5 du projet d'arrêté précise l'effacement automatique des données saisies pour accomplir une démarche administrative, au-delà d'une durée maximale de trente jours.La commission considère que cette durée répond notamment à l'éventuel besoin de réitérer l'envoi par la DILA, à l'autorité administrative partenaire, des données saisies lors d'une démarche entreprise depuis le portail  service-public.fr . Ces données n'ayant pas à être traitées plus avant par la DILA, cette durée de conservation n'appelle pas d'observation particulière.Sur l'information et les droits des personnes :Le respect des droits prévus par la loi  Informatique et libertés  constitue un impératif essentiel dans le cadre du dispositif SP2016 et, plus généralement, dans le cadre des traitements mis en œuvre aux fins d'administration électronique et de simplification des relations avec les administrés.A cet égard, la commission prend acte de la garantie, rappelée à l'article 2 du projet d'arrêté, selon laquelle l'utilisation du dispositif pour accéder aux téléservices des partenaires est facultative pour les administrés et non exclusive d'autres modalités d'accès aux services publics qu'il appartient aux autorités partenaires d'organiser.Elle rappelle dès lors que, sauf lorsque des dispositions légales en disposent expressément autrement, les autorités administratives
partenaires du dispositif SP2016 doivent assurer le maintien d'une procédure alternative aux téléservices et aux services dématérialisés. En outre, ces alternatives doivent alors permettre l'accès, dans des conditions analogues, à la même prestation de service public. La commission demande à la DILA de s'assurer de ces caractéristiques avant toute adhésion au dispositif SP2016.La commission observe que toutes les opérations effectuées sur l'espace personnel de stockage (dépôt et conservation de données et de documents, transmission de données ou de pièces dématérialisées utiles à l'accomplissement des démarches administratives) sont placées à l'initiative et sous le contrôle de l'usager. En ce sens, le projet d'arrêté précise que, hors les cas prévus par des dispositions législatives ou réglementaires, seul l'usager peut accéder aux données contenues dans son compte et son espace personnel de stockage.La commission relève que la DILA met à disposition un outil de construction des différents formulaires de démarches administratives qu'une autorité partenaire propose de dématérialiser. Cet outil permet notamment de faire figurer les mentions d'information prévues par l'article 32 de la loi du 6 janvier 1978 modifiée sur l'ensemble des formulaires du dispositif SP2016, y compris celui relatif à l'inscription au service ou à l'enregistrement de données dans l'espace de stockage. Ces mentions d'information ont également été intégrées sur le portail  service-public.fr  dans les
pages relatives aux conditions générales d'utilisation (CGU) et aux questions fréquemment posées (FAQ) accessibles à tout internaute.La commission estime que certaines informations contenues dans les CGU devraient être reprises, de façon claire, pour l'activation des différentes fonctionnalités du dispositif SP2016. En ce sens, il conviendrait notamment de rappeler, avant de valider chaque autorisation, les modalités pratiques alternatives pour effectuer la démarche sans s'appuyer sur l'espace de stockage.Ces modalités pratiques permettant la maîtrise par l'usager des données le concernant devraient être prévues dans un acte réglementaire, et non uniquement dans des CGU modifiables par le responsable de traitement. En effet, le présent projet d'arrêté, tout comme le projet de décret examiné par la commission, ne précise pas  les modalités selon lesquelles le titulaire autorise le dépôt d'informations sur son espace de stockage ou leur transmission à partir de celui-ci .En tout état de cause elle rappelle que ces modalités doivent être précisément consignées par la DILA.Enfin, l'article 6-I du projet d'arrêté prévoit que les droits d'accès, de rectification et de suppression s'exercent dans les conditions prévues par les articles 39 et suivants de la loi du 6 janvier 1978 modifiée. La commission prend acte que ces droits peuvent également être exercés par voie dématérialisée. En ce sens, elle souligne que l'article 5 du même projet d'arrêté rappelle que les données contenues
dans le compte et l'espace de stockage sont gérées directement par l'usager.De surcroît, elle considère que, pour garantir la maîtrise par l'usager des données le concernant, les fonctionnalités de suivi de l'ensemble des démarches entreprises devraient également lui permettre d'accéder à l'ensemble des traces concernant les actions des autorités administratives relatives à ses données à caractère personnel. L'accessibilité à ces données doit mettre l'usager en mesure de s'assurer que seules les autorités habilitées à instruire les démarches entreprises et celles autorisées à accéder à son espace de stockage ont pu traiter les données le concernant dans la limite de leurs attributions et de leurs autorisations.En outre, la commission prend acte qu'aucune disposition du projet d'arrêté ne prévoit d'exclure le droit d'opposition des usagers au traitement automatisé de leurs données. Au-delà du caractère facultatif de l'utilisation du dispositif et des fonctionnalités mises à disposition pour garantir la maîtrise par l'usager des données le concernant, la commission rappelle dès lors que la DILA devra alors donner suite aux demandes d'opposition exercées pour motifs légitimes par les personnes concernées.Sur la sécurité et la confidentialité :La commission souligne qu'a été communiquée une analyse de risques du système d'information mis en œuvre par la DILA, complétée d'une étude des risques spécifique à la protection des données à caractère personnel. Elle souligne également
la qualité de la méthodologie empruntée et considère que l'ensemble de cette documentation permet d'étudier les risques présentés par le traitement en prenant en compte les impacts potentiels à la fois sur le responsable du traitement et sur les personnes concernées.De manière générale, le dispositif présente un niveau de sécurité satisfaisant. En effet, la DILA utilise notamment des moyens de chiffrement afin d'assurer la confidentialité et l'intégrité des données, informations et documents conservés et transmis depuis l'espace de stockage, ce qui est conforme aux recommandations que la commission a pu formuler dans ses précédents avis.Elle observe toutefois que ce niveau de sécurité dépendra également des mesures propres aux téléservices mis en œuvre par chaque partenaire.Par ailleurs, contrairement à ce que prévoit l'article 7 de l'ordonnance du 8 décembre 2005 et le projet de décret, le projet d'arrêté n'évoque aucune mesure de sécurité, organisationnelle ou logique. II n'indique pas plus que le dispositif est mis en œuvre dans un environnement sécurisé. Seul l'article 3 (5°) du projet d'arrêté l'évoque, de manière indirecte, en prévoyant que la confidentialité des données  sensibles  au sens des articles 8 et 9 de la loi  Informatique et libertés  est particulièrement renforcée par des mesures de sécurité complémentaires.La commission estime que l'arrêté devrait préciser la nature des principales mesures de sécurité mises en œuvre, telles que le chiffrement de
l'ensemble des données à caractère personnel et des communications avec les partenaires, ainsi que la traçabilité des accès et des transmissions de données.La commission rappelle que la dématérialisation de services publics nécessite d'adapter les procédés d'identification aux usages en ne réservant les niveaux sécurisés qu'aux démarches dématérialisées en tout ou partie qui le requièrent.Elle rappelle enfin qu'en cas de stockage de données relatives à la santé il conviendrait de solliciter l'agrément d'hébergeur de données de santé conformément à l' article L. 1111-8 du code de la santé publique.Sous réserve de ces observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.Sur les autres caractéristiques du dispositif :La commission relève que les arrêtés relatifs à MSP seront abrogés à compter du 30 juin 2016 dans la mesure où ils concernent la mise en œuvre de téléservices existants dont les fonctionnalités font, en tout ou partie, l'objet d'intégration au sein du présent dispositif proposé par la DILA.S'agissant de la fermeture définitive de MSP et de la destruction du contenu des comptes personnels et des espaces de stockages associés qui n'auraient pas migré vers le nouveau dispositif SP2016 faute
de démarche entreprise en ce sens par l'usager, la commission suggère à la DILA de consolider la campagne d'information mise en œuvre. Il s'agirait de recourir à l'ensemble des coordonnées susceptibles d'avoir été renseignées dans le  compte usager  pour adresser une information, par exemple par SMS, en complément du dernier courriel adressé.Par ailleurs, la commission prend acte que le projet de texte soumis pour avis a vocation à compléter l'arrêté du 6 novembre 2000 relatif à la création du site sur internet intitulé  service-public.fr  modifié par l'arrêté du 10 août 2001. Elle rappelle que ce téléservice est accessible à tout internaute, sans collecte de données le concernant, et qu'il met à disposition des informations générales concernant l'administration française ainsi que les droits et démarches administratives. Ce téléservice accueille également la diffusion de l'annuaire des responsables de l'administration française dont les données sont communiquées à la DILA par l'organisme de rattachement, voire par l'intéressé.Du fait des modifications intervenues depuis 2000, la commission estime que cet arrêté serait utilement mis à jour afin de garantir la conformité du cadre réglementaire au regard des caractéristiques actuelles du site  service-public.fr .
La Commission nationale de l'informatique et des libertés, Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive n° 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à  l'égard du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25 II et 69 ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 101 et 103 ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et  après avoir entendu les observations de M. Jean-Alexandre SILVY,  commissaire du Gouvernement, Formule les observations suivantes : En vertu de l'article 68 de la loi du 6 janvier 1978 modifiée, les  transferts de données à caractère personnel à destination de pays qui ne  sont membres ni de l'Union européenne ni de l'Espace économique  européen et qui, par conséquent, n'ont pas transposé dans leur  législation les dispositions de la directive n° 95/46/CE du 24 octobre  1995 relative à la protection des personnes physiques à l'égard du  traitement des données à caractère personnel et à la libre circulation  de ces données sont interdits. Néanmoins, il peut être fait exception à cette interdiction par  application de l'article 69 de la loi précitée, notamment par décision  de la Commission nationale de l'informatique et des libertés lorsqu'un  niveau de protection suffisant est apporté aux données transférées par  l'intermédiaire de règles internes (règles contraignantes d'entreprise  ou  Binding Corporate Rules  (BCR) constituant un code de conduite  interne s'imposant à toutes les entités d'un groupe). Au terme d'une procédure de coopération européenne, la Commission  nationale de l'informatique et des libertés et les autorités de  protection des données compétentes ont reconnu la conformité de ces BCR   responsable de traitement  aux exigences posées par les documents de  référence adoptés par le groupe de
travail de l'article 29. A ce titre,  les BCR  responsable de traitement  du groupe International SOS (dont  le siège social mondial est situé 331 North Bridge Road, #17-00 Odeon  Towers, Singapore, 188720 Singapore) sont réputées apporter un niveau de  protection suffisant aux données personnelles transférées au sein du  groupe International SOS. Par conséquent, les organismes mentionnés à l'article 1er  ci-dessous, qui souhaiteront se référer à la présente autorisation  unique n° BCR-025 et adresseront à cette fin à la commission un  engagement de conformité pour leurs transferts qui répondent strictement  aux conditions définies dans la présente décision d'autorisation  unique, seront autorisés à mettre en œuvre ces transferts. Tout transfert ne peut être autorisé que dans la mesure où : i) lorsque cela est requis, la formalité relative au traitement  auquel ce transfert se rattache a été dûment accomplie auprès de la  Commission nationale de l'informatique et des libertés, et ii) le transfert est réalisé dans le strict respect du cadre défini par ladite formalité. Par ailleurs, tout transfert de données à caractère personnel qui  excéderait le cadre ou les exigences définis par la présente  autorisation unique doit faire l'objet d'une décision d'autorisation  spécifique.
Article 1  
Sur les responsables de traitement/champ d'application. Peuvent seules adresser un engagement de conformité à la présente  autorisation unique les entités du groupe International SOS, agissant en  qualité de responsable de traitement, étant juridiquement liées par les  BCR  responsable de traitement  du groupe International SOS et ayant  mis en œuvre les engagements pris au titre des BCR.
  Article 2  
Sur les finalités des transferts. Conformément au champ matériel et à la description des transferts  couverts par les BCR  responsable de traitement  du groupe  International SOS et à leurs annexes, sont autorisés les seuls  transferts de données à caractère personnel ayant pour finalités : Finalités relatives aux transferts des données personnelles des collaborateurs des sociétés clientes International SOS :
- la gestion des bilans de santé ; - la gestion des demandes de remboursement pour les services d'assistance.
Finalités relatives aux transferts des données personnelles des  salariés d'International SOS et assimilés (candidats à un poste de  salarié, intérimaires, stagiaires et apprentis) :
- la gestion de la paie ; - la gestion des candidatures internes et externes ; - la gestion administrative du personnel, de la performance et de la formation ; - le stockage et la mise en ligne des données relatives aux déplacements professionnels ; - la gestion des demandes de remboursement pour les services d'assistance.
Finalités relatives aux transferts des données personnelles des clients (actuels ou potentiels) :
- la gestion des clients et prospects.
Finalités relatives aux transferts des données personnelles des  prestataires d'International SOS et contacts au sein des prestataires  d'international SOS :
- la gestion du réseau de prestataires.
Finalités relatives aux transferts des données personnelles des  bénéficiaires des programmes d'assistance fournis par International SOS  et des médecins d'International SOS :
- la gestion et le suivi des dossiers d'assistance à l'international ; - la gestion des demandes de remboursement pour les services d'assistance.
  Article 3  
Sur les catégories de données personnelles transférées. Conformément au champ matériel et à la description des transferts  couverts par les BCR  responsable de traitement  du groupe  International SOS et à leurs annexes, peuvent être transférées, dans le  cadre des finalités décrites ci-dessus, les catégories de données à  caractère personnel suivantes : Pour les transferts relatifs aux collaborateurs des sociétés clientes International SOS :
- état civil/identité/données d'identification ; - vie personnelle ; - vie professionnelle ; - données de santé ; - informations d'ordre économique et financier.
Pour les transferts relatifs aux salariés d'International SOS et  assimilés (candidats à un poste de salarié, intérimaires, stagiaires et  apprentis) :
- état civil/identité/données d'identification ; - informations d'ordre économique et financier ; - données de connexion ; - numéro de sécurité sociale (uniquement dans le cadre de la gestion de la paie) ; - vie personnelle ; - vie professionnelle ; - données de localisation.
Pour les transferts relatifs aux clients (actuels ou potentiels) :
- état civil/identité/données d'identification ; - vie professionnelle.
Pour les transferts relatifs aux prestataires d'International SOS et contacts au sein des prestataires d'international SOS :
- état civil/identité/données d'identification ; - informations d'ordre économique et financier ; - vie professionnelle.
Pour les transferts relatifs aux bénéficiaires des programmes  d'assistance fournis par International SOS et des médecins  d'International SOS :
- état civil/identité/données d'identification ; - vie professionnelle ; - vie personnelle ; - données de santé ; - informations d'ordre économique et financier,
étant précisé que le transfert de données sensibles au sens de  l'article 8 de la loi du 6 janvier 1978 modifiée ne peut être réalisé  que dans la mesure où : i) le traitement auquel ce transfert se rattache a préalablement  fait l'objet, lorsque cela est requis, d'une autorisation par la  Commission nationale de l'informatique et des libertés, et ii) ce transfert est réalisé dans le strict respect du cadre défini par ladite autorisation.
  Article 4  
Sur les catégories de personnes concernées par les transferts.
Conformément au champ matériel et à la description des transferts  couverts par les BCR  responsable de traitement  du groupe  International SOS et à leurs annexes, peuvent être transférées, dans le  cadre des finalités décrites ci-dessus, les données à caractère  personnel relatives aux catégories de personnes suivantes : - salariés et assimilés (candidats à un poste de salarié, intérimaires, stagiaires et apprentis) ; - collaborateurs des sociétés clientes d'International SOS ; - clients (actuels ou potentiels) ; - prestataires d'International SOS et contacts au sein des prestataires d'international SOS ; - bénéficiaires des programmes d'assistance fournis par International SOS ; - médecins.
  Article 5  
Sur les destinataires habilités à accéder aux données transférées. Peuvent seules être habilitées à accéder aux données les entités du  groupe International SOS juridiquement liées aux BCR  responsable de  traitement  du groupe International SOS et ayant mis en œuvre les  engagements pris au titre de ces BCR, dont la liste à jour a été fournie  à la Commission nationale de l'informatique et des libertés, et ce  conformément aux BCR  responsable de traitement  du groupe  International SOS et à leurs annexes.
  Article 6
Sur les informations relatives à chaque transfert. Les responsables de traitement doivent tenir à disposition des  services de la Commission nationale de l'informatique et des libertés  une liste (cf. modèle proposé en annexe de la présente délibération)  détaillée et à jour des transferts effectués sur la base des BCR   responsable de traitement  du groupe International SOS, précisant, pour  chaque transfert, les informations suivantes :
- la finalité générale du transfert ; - la ou les catégories de données à caractère personnel transférées ; - la ou les catégories de personnes concernées par le transfert ; - les informations relatives à chaque destinataire des données : - raison sociale ; - nom du groupe auquel le destinataire appartient et ayant adopté des BCR  responsable de traitement  ; - pays d'établissement ; - catégorie de destinataire (ex. : maison-mère, filiale), et - nature du traitement opéré par ce dernier.
  Article 7  
Sur les droits d'accès, de rectification et d'opposition des personnes. Les droits d'accès, de rectification et d'opposition des personnes  concernées définis au chapitre V de la loi du 6 janvier 1978 modifiée  s'exercent auprès du ou des services que les responsables de traitement  auront désignés.
  Article 8