AgentPublic/cnil huggingface dataset:
Conseil d'Etat relatif à l'interopérabilité du système d'information des prestations de services internationales (SIPSI) et du système d'information de la carte d'identification professionnelle des salariés du bâtiment et des travaux publics (SI-CIP) ainsi qu'à la dématérialisation de la déclaration subsidiaire de détachement effectuée par les maîtres d'ouvrage et donneurs d'ordre.Le présent projet de décret modifie les dispositions du code du travail intégrées par le décret n° 2016-1044 du 29 juillet 2016 relatif à la transmission dématérialisée des déclarations et attestations de détachement de salariés et autorisant un traitement des données à caractère personnel qui y figurent, d'une part, et par le décret n° 2016-175 du 22 février 2016 relatif à la carte d'identification professionnelle des salariés du bâtiment et des travaux publics, d'autre part.Sur les finalités :Le projet de décret vise à développer une interopérabilité entre le fichier SIPSI, relatif au traitement automatisé des déclarations de détachement de travailleurs sur le territoire national effectuées par des entreprises établies à l'étranger dans le cadre de prestations de services internationales, et le fichier SI-CIP, relatif au traitement automatisé de la carte d'identification professionnelle des salariés du bâtiment et des travaux publics (BTP).Cette interopérabilité s'inscrit dans une optique de renforcement de la lutte contre le travail illégal et les fraudes au détachement de travailleurs dans le
secteur d'activité du BTP.Aux termes de l'article 5 du projet de décret, le traitement a pour finalité de garantir la fiabilité de la délivrance des cartes d'identification professionnelle des salariés du BTP pour les salariés détachés sur le territoire national par des employeurs établis hors de France.Plus concrètement, ce traitement consiste en une transmission automatique à l'Union des caisses de France-Congés intempéries BTP (UCF-CI BTP) des données contenues dans les déclarations de détachement des salariés employés par des entreprises établies hors de France pour effectuer sur le territoire national des travaux mentionnés à l'article R. 8291-1 du code du travail.Il en résulte que les données contenues dans ie fichier SIPSI sont directement intégrées dans le fichier SI-CIP.C'est dans ce contexte que les déclarations de détachement mentionnées aux articles R. 1263-3 et suivants, effectuées via le téléservice SIPSI par les employeurs de salariés réalisant des travaux de BTP, valent déclarations en vue de demandes de cartes d'identification professionnelle des salariés du BTP, délivrées par I'UCF-CI BTP.L'interopérabilité a en ce sens vocation à fiabiliser et à simplifier le dispositif d'édition des cartes d'identification professionnelle des salariés du BTP.En effet, le flux d'information entre les fichiers permettra de s'assurer que les entreprises concernées ont accompli leurs obligations déclaratives au titre du détachement de leurs salariés, et se substituera à
l'obligation de joindre une copie de déclaration de détachement, préalable nécessaire en vue de l'obtention d'une carte d'identification professionnelle. Les données transmises permettent en outre de pré­ initialiser les comptes des entreprises sur le SI-CIP ainsi que les demandes de titres pour les salariés concernés.Par ailleurs, conformément aux dispositions de l'article 105 de la loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels, l'article 5 du projet de décret prévoit que les maîtres d'ouvrages et les donneurs d'ordre pourront réaliser, par voie dématérialisée, les déclarations de détachement subsidiaires, en cas de manquement à cette formalité par leurs prestataires de services étrangers.La commission considère que les finalités sont déterminées, explicites et légitimes.Sur les données traitées :L'article 5 du projet de décret liste les données suivantes, transmises automatiquement à I'UCF-CI BTP à l'occasion des déclarations de détachement des salariés via le téléservice SIPSI :
- s'agissant des salariés détachés : nom, prénoms, date et lieu de naissance, nationalité ;- s'agissant des entreprises qui détachent des salariés en France et de leurs dirigeants : nom ou raison sociale de l'entreprise, nom, prénoms, date et lieu de naissance du ou des dirigeant(s), adresses postales et électroniques, coordonnées téléphoniques de l'entreprise ou de l'établissement, forme juridique de l'entreprise, références de son immatriculation à un registre professionnel ou toutes autres références équivalentes ;- s'agissant des représentants des entreprises en France, pour la durée des prestations : noms, prénoms, date de naissance, s'il s'agit de personnes physiques ; raison sociale, s'il s'agit de personnes morales ; adresses électroniques et postales, coordonnées téléphoniques ;- s'agissant de la nature et des conditions de réaiisation des prestations en France : adresse du ou des lieu(x) successifs d'accomplissement des prestations, dates du début de la prestation et de sa fin prévisible.
L'article 3 du projet de décret ajoute qu'à réception des données listées ci-dessus, I'UCF-CI BTP demande aux entreprises à l'origine des déclarations, ou à leurs représentants en France, de lui adresser via son site internet dédié, les données suivantes, pour chaque salarié détaché : photographie d'identité numérisée, sexe, nature du contrat de travail, numéro de l'autorisation de travail ou de la carte de séjour valant autorisation de travail, le cas échéant.La commission relève que les données ainsi transmises à I'UCF-CI BTP n'excèdent pas celles nécessaires à la gestion et au suivi des titres, listées dans le décret n° 2016-175 du 22 février 2016 relatif à la carte d'identification professionnelle des salariés du BTP.Elle estime que les données traitées sont pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.Sur les destinataires :La commission constate que le projet de décret ne mentionne pas les catégories de personnes appelées à accéder aux données en raison de leurs missions.Interrogé sur ce point, le ministère indique que la mise en place de l'interopérabilité ne requiert pas que d'autres destinataires que ceux indiqués à l'article 3 du décret n° 2016-1044 du 29 juillet 2016 et à l'article 3 du projet d'arrêté relatif aux conditions de fonctionnement du traitement automatisé de données à caractère personnel de la carte d'identification professionnelle des salariés du BTP, n'aient accès aux données.La commission prend bonne
note de cette précision et estime que le projet de décret devrait être complété sur ce point afin de renforcer l'information des personnes concernées.Elle rappelle que l'accès aux différents systèmes d'information par l'ensemble de ces destinataires doit s'appuyer sur une politique de gestion rigoureuse des habilitations et considère, sous cette réserve, que les destinataires présentent un intérêt légitime à accéder en tout ou partie aux données.Sur les durées de conservation :Le projet de décret ne précise pas les durées de conservation des données.Interrogé sur ce point, le ministère renvoie aux durées de conservation mentionnées à l'article 5 du décret n° 2016-1044 du 29 juillet 2016, et à l'article 4 du projet d'arrêté relatif aux conditions de fonctionnement du traitement automatisé de données à caractère personnel de la carte d'identification professionnelle des salariés du BTP, à savoir respectivement cinq ans à compter de la fin de la prestation en France, et cinq ans à compter de la dernière invalidation enregistrée pour le compte du titulaire du titre.La commission estime que l'ajout de cette précision dans le décret serait également de nature à renforcer l'information des personnes concernées.Elle estime que les données traitées ne sont pas conservées au-delà du temps nécessaire à l'accomplissement des finalités pour lesquelles elles ont été collectées.Sur l'information et les droits des personnes :L'article 3 du projet de décret (projet d'article R. 8293-2 du
code du travail) prévoit qu'avant d'effectuer la déclaration auprès de I'UCF-CI BTP, les employeurs informent les salariés de la transmission des données personnelles les concernant.La commission rappelle que conformément à l'article 32 de la loi  Informatique et Libertés , l'information doit porter sur l'identité du responsable du traitement, les objectifs poursuivis par le traitement, le caractère obligatoire ou facultatif des réponses, les conséquences éventuelles d'un défaut de réponse, les destinataires des données, les droits des personnes, et le cas échéant, les transferts de données hors de l'Union européenne.Elle souligne qu'en tout état de cause, cette information doit être donnée, aux salariés, d'une part, et aux employeurs, d'autre part, préalablement à la collecte des données, selon des modalités adaptées au nombre de personnes concernées.Interrogé sur les modalités d'exercice des droits d'accès et de rectification, le ministère renvoie aux dispositions à l'article 4 du décret n° 2016-1044 du 29 juillet 2016 et au projet d'arrêté relatif aux conditions de fonctionnement du traitement automatisé de données à caractère personnel de la carte d'identification professionnelle des salariés du BTP.Il en résulte que, s'agissant du traitement SIPSI, les droits d'accès et de rectification des données s'exercent auprès du responsable de l'unité départementale de la Direction régionale des entreprises, de la concurrence, de la consommation, du travail et de l'emploi
compétente pour le lieu de la prestation. Elle relève, concernant le traitement SI-CTP, que ces droits s'exercent directement auprès de I'UCF-CI BTP.L'intégration de ces précisions dans le projet de décret contribuerait à renforcer l'information des personnes concernées.Enfin, le ministère indique que les personnes concernées ne peuvent pas s'opposer à la transmission de leurs informations au moyen de l'interopérabilité entre les fichiers SIPSI et SI-CTP. La commission en prend acte et relève néanmoins que le présent projet de décret n'en fait pas mention.Sur les mesures de sécurité :Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. La commission recommande que la gestion et l'usage des habilitations fassent l'objet de procédures formalisées, validées par le responsable de traitement et portées à la connaissance des utilisateurs. Elle recommande également que les permissions d'accès soient supprimées pour tout utilisateur n'étant plus habilité et qu'une revue globale des habilitations soit opérée régulièrement.Le contrôle des accès repose sur des mots de passe pour lesquelles une structure et une durée de validité ont été fixées. La commission rappelle qu'elle recommande le recours à des mots de passe d'une longueur minimale de huit caractères, composés de minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être modifié par l'utilisateur dès sa première connexion puis régulièrement.La commission
recommande en outre, pour les administrateurs du traitement que la longueur du mot de passe soit de à dix caractères minimum.La commission rappelle également que les mots de passe ne doivent pas être stockés en clair en base de données et recommande de stocker les empreintes obtenues par une fonction de hachage à clé secrète adaptée.Les transferts de données sont sécurisés par la mise en œuvre à la fois d'un VPN IPsec et du protocole SSUTLS pour le chiffrement des flux et l'authentification du serveur. Concernant ce dernier, la commission recommande d'utiliser la version de TLS la plus à jour possible.Des sauvegardes régulières, au minimum mensuelles, sont réalisées. La commission recommande que le transfert et le stockage des sauvegardes soit sécurisé, notamment par chiffrement des sauvegardes, et que des tests de continuité d'activité soient effectués régulièrement.La mise au point des logiciels s'effectue sur des données anonymisées.Les interventions de maintenance font l'objet d'une traçabilité et d'une surveillance. Les supports de stockages destinés à la destruction font l'objet d'une procédure de protection particulière.La commission recommande de prévoir la mise en place d'une architecture de journalisation permettant de conserver, en assurant leur intégrité, sur une durée de six mois (hors contraintes légales spécifiques), une trace des événements de sécurité et du moment où ils ont eu lieu, en choisissant les événements à journaliser en fonction du contexte, des
supports (postes de travail, pare-feu, équipements réseau, serveurs, etc.), des risques et du cadre légal.Enfin, l'accès aux iocaux et équipement hébergeant ie traitement est sécurisé par un contrôle d'accès physique et la présence d'un gardien.Sous réserve de ces observations, la commission estime que les mesures de sécurité décrites par le responsable de traitement dans le dossier d'instruction sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi  Informatique et Libertés .Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques et de l'évolution des technologies.
(Demande d’autorisation n° 1701933)
La Commission nationale de l'informatique et des libertés,
Saisie par la société BMW France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la route ;
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-188 du 6 juillet 2006 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion du contentieux lié au recouvrement des contraventions au code de la route et à l’identification des conducteurs dans le cadre du système de contrôle automatisé des infractions au code de la route (AU-010) ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes : 
La Commission est saisie d’une demande d’autorisation de la société BMW France qui souhaite mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route.
L’autorisation unique n° 10 adoptée par la Commission permet aux organismes qui s’y conforment de mettre en place un traitement ayant notamment pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route.
Cependant, seuls peuvent se prévaloir de cette autorisation unique les « organismes de droit public ou de droit privé ayant pour activité la location de véhicules ou mettant des véhicules à disposition de leurs collaborateurs ou clients ».
Or, la société BMW France souhaite mettre des véhicules à disposition d’autres personnes, telles que des journalistes ou des prospects. Dès lors, elle ne peut bénéficier de l’autorisation unique n° 10.
De même, la société souhaite collecter des données supplémentaires par rapport à ce que prévoit l’autorisation unique (situation professionnelle de l’auteur de l’infraction, scan du procès-verbal d’infraction), et pouvoir rendre l’ensemble des données accessibles aux personnes en charge de la gestion des contraventions dans la société (et non pas par le seul service contentieux).
La Commission prend acte de ce que les autres caractéristiques du traitement mis en place par la société sont en tous points conformes à celles prévues dans l’autorisation unique n° 10.
Sur la finalité du traitement :
Le traitement a pour objet la gestion du contentieux lié au recouvrement des contraventions au code de la route commises par les personnes à la disposition desquelles qui la société BMW France met des véhicules. 
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.
Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sureté.
Sur la nature des données traitées :
Les catégories de données traitées sont : 
les données relatives à la situation professionnelle du conducteur ;
les données relatives aux infractions routières commises par le conducteur avec le véhicule mis à sa disposition (y compris le scan du procès-verbal d’infraction).
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Les données sont conservées pendant une durée maximale d'un mois à compter de la réception de l'avis de contravention, puis elles sont archivées pendant une durée maximale de dix-huit mois. La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Sont destinataires des données : 
la personne en charge de réceptionner et traiter les procès-verbaux (relevant du département « services généraux ») ;
la direction des ressources humaines et la comptabilité pour le suivi / paiement des procès-verbaux des salariés ;
le service gestionnaire du pool du véhicule prêté qui a fait l’objet du procès verbal d’infraction. Ce service est responsable du transfert du procès-verbal au bénéficiaire du prêt responsable de l’infraction et du suivi du remboursement de la contravention ou de la préparation de la requête en exonération.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l'information des personnes :
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur la convention de prêt du véhicule.
En outre, pour ce qui concerne la mise en œuvre du traitement auprès des collaborateurs de la société, la société a procédé à l’information et à la consultation des instances représentatives du personnel, conformément à l’article 6 de l’autorisation unique n° 10.
La Commission estime que cette information est satisfaisante.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès et de rectification s’exercent auprès du service contentieux de la société BMW France, 3 avenue Ampère – 78180 MONTIGNY LE BRETONNEUX.
La Commission considère que cette modalité d’exercice des droits est satisfaisante.
Sur la sécurité des données et la traçabilité des actions :
Au titre des mesures de sécurité, est notamment mise en place une traçabilité des consultations et modifications des données.
Le responsable de traitement a mis en place une politique de mots de passe qui exige que ceux-ci aient une longueur minimale de huit caractères et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial. Par ailleurs, les mots de passe seront régulièrement renouvelés.
Les services web sont sécurisés au moyen du protocole SSL, ce qui permet de garantir l’identité du serveur et la confidentialité des données.
Le traitement est également accessible à partir de réseaux privés connectés par l’intermédiaire d’un VPN.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société BMW France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1974779)
La Commission nationale de l'informatique et des libertés,
Saisie par le GIE EURECOM d’une demande de modification de la délibération n° 2012-099 du 5 avril 2012 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des performances d’un capteur de type Microsoft Kinect TM pour la reconnaissance du visage ; 
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Le GIE EURECOM a saisi la Commission nationale de l’informatique et des libertés d’une demande de modification de la délibération n° 2012-099 du 5 avril 2012 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des performances d’un capteur de type Microsoft Kinect TM pour la reconnaissance du visage. L’objet de cette modification porte sur le changement de capteur et sur la prolongation du traitement d’une durée de trois ans. 
Responsable du traitement
Le GIE EURECOM est une école d’ingénieurs et un centre de recherche en systèmes de communication, organisé en groupement d’intérêt économique (GIE) qui associe partenairesacadémiques et industriels internationaux.
Sur la finalité
Le 5 avril 2012, la Commission nationale de l’informatique et des libertés a autorisé la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité l’évaluation des performances d’un capteur de type Microsoft Kinect © pour la reconnaissance du visage. 
Aux termes de cette autorisation, les utilisateurs de la base de données s’engageaient à ne pas traiter les données à des fins commerciales ainsi qu’à détruire la base en leur possession à l’issue de trois ans, sauf autorisation de la Commission nationale de l’informatique et des libertés permettant de prolonger cette période.