AgentPublic/cnil huggingface dataset:
La Commission rappelle qu'il est nécessaire qu'à l'issue de la période de fin de scolarité de l'élève, aucune personne autre que l'élève ne soit en mesure techniquement d'accéder au livret scolaire de l'élève. Cette garantie technique pourrait, par exemple, consister en la création d'une  base active  jusqu'à la fin de la période du baccalauréat puis d'une base intermédiaire, à l'issue de la scolarité de l'élève, dont l'accès ne pourra se faire que sur demande de ce dernier. 
Sur les destinataires des données L'article 3 du projet d'arrêté est relatif aux destinataires ou catégories de destinataires habilités, pour l'accomplissement de leurs missions respectives et pour l'exercice des finalités du traitement, à recevoir communication des données.
Outre l'élève et les responsables légaux, sont destinataires :-	Le chef d'établissement et son adjoint,-	Le conseiller principal d'éducation,-	Le professeur principal,-	Les enseignants,-	Les agents habilités de la division des examens et concours de l'académie.  
La Commission considère que ces destinataires ont un intérêt légitime à accéder à ces données puisque, d'une part, les enseignants complètent les notes et les appréciations de l'élève et, d'autre part, l'élève et ses responsables légaux doivent avoir la possibilité de prendre connaissance du contenu du livret scolaire, conformément à l'article D. 111-3 du code de l'éducation.
Par ailleurs, conformément à la demande de la Commission, l'article 3 précise que  les président et vice-président du jury du baccalauréat technologique et le chef du centre de délibération sont destinataires de données strictement anonymes issues du LSL, à des fins d'évaluation des candidats au baccalauréat. . 
Cependant, la Commission s'interroge sur le caractère anonyme des ces données puisque ces destinataires pourront aisément identifier le candidat faisant l'objet de chaque livret grâce aux autres documents d'examen dont ils disposeront simultanément. Le bilan d'expérimentation transmis à la Commission devra donc apporter des éléments précis sur l'effectivité des mécanismes d'anonymisation mis en œuvre.
Sur les droits des personnes concernéesL'information des personnes concernées est prévue par voie d'affichage dans les établissements concernés, ainsi que sur le site internet dédié au LSL. Les droits d'accès et de rectification s'exercent directement auprès du responsable du traitement, conformément aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des donnéesEn premier lieu, la Commission rappelle que, conformément à l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, la conformité du présent télé-service au référentiel général de sécurité (RGS) doit être assurée avant sa mise en œuvre.
L'arrêté concerne à la fois la mise en œuvre du livret scolaire du lycée à partir de l'année scolaire 2013-2014 pour les élèves de première en série ST2S et à partir de l'année scolaire 2014-2015 pour les classes de terminale de la même série.
Pourtant, seule une analyse de risques généraliste de certaines des fonctionnalités disponibles en classe de première a été fournie à la CNIL. Ainsi, la Commission regrette l'absence d'éléments permettant d'évaluer la conformité à l'article 34 de la loi du 6 janvier 1978 modifiée. 
Il n'a en effet pas été possible d'étudier ni le télé-service permettant aux élèves et parents de consulter le livret (première fonctionnalité), ni le module permettant au jury d'accéder aux livrets non nominatifs (deuxième fonctionnalité).
Au regard de l'absence d'informations, notamment relatives aux deux fonctionnalités ci-dessus, la Commission ne peut ni se prononcer sur la conformité du traitement vis-à-vis de l'article 34 de la loi  Informatique et Libertés , ni proposer de mesures précises. 
La Présidente
 
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par la ministre de la décentralisation, de la réforme de l'Etat et de la fonction publique d'une demande d'avis concernant un projet de décret relatif à certaines conditions d'accès des  organisations syndicales aux technologies de l'information et de la communication dans la fonction publique de l'Etat ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'avis favorable du Conseil supérieur de la fonction publique de l'Etat du 26 juin 2014 relatif au projet de décret examiné par la Commission ;Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l'avis suivant :
La Commission a été saisie par la ministre de la décentralisation, de la réforme de l'Etat et de la fonction publique, sur le fondement de l'article 27 de la loi du 6 janvier 1978 modifiée, d'une demande d'avis sur un projet de décret relatif à certaines conditions d'accès des organisations syndicales aux technologies de l'information et de la communication dans la fonction publique de l'Etat.
A titre liminaire, la Commission relève que le projet de décret qui lui est soumis n'emporte pas création d'un nouveau traitement de données à caractère personnel, mais vise à modifier des actes antérieurs de l'administration portant création de tels traitements, au titre de la mise en conformité des administrations concernées au regard des obligations de la loi du 6 janvier 1978 modifiée. Plus précisément, ce projet de décret à pour objet de modifier les actes règlementaires autorisant la création des traitements automatisés de données à caractère personnel relatifs à la gestion des ressources humaines concernant des agents de l'Etat (SIRH), uniquement en ce qu'il ajoute les organisations syndicales représentatives à titre de destinataires des données nécessaires à la constitution de listes d'adresses électroniques nominatives professionnelles, à savoir les adresses électroniques des agents concernés ainsi que leurs services, corps d'affectation ou, s'agissant des personnels non fonctionnaires, leur niveau de catégories.
Dans la mesure où la modification des traitements SIRH porte sur un des éléments mentionnés par l'article 29 de la loi du 6 janvier 1978 modifiée, à savoir les destinataires ou catégories de destinataires des données, une nouvelle saisine de la Commission pour avis sur le fondement de l'article 27 de la loi du 6 janvier 1978 modifiée est dès lors justifiée.
Comme indiqué précédemment, l'article 3 du projet de décret soumis à la Commission prévoit que  dans toutes les autorisations et dans toutes les déclarations de traitement automatisé de données à caractère personnel relatif à la gestion des ressources humaines concernant des agents de l'Etat, peuvent être destinataires des seules données requises pour la constitution de listes d'adresses électroniques nominatives professionnelles, à raison de leur mandat et dans la limite du besoin d'en connaître, les agents expressément désignés par une organisation syndicale pour l'utilisation des technologies de l'information et de la communication . 
La Commission estime que le fait de rendre des organisations syndicales représentatives dans la fonction publique de l'Etat destinataires des adresses de messagerie professionnelle d'agents publics est légitime, dès lors qu'il s'agit d'organiser la communication entre ces agents et organisations syndicales et que les conditions de cette mise à disposition préservent les droits des personnes concernées.
A ce titre, la Commission relève que parallèlement à la présente saisine elle a été saisie pour avis, sur le fondement de l'article 11-2°-d de la loi du janvier 1978 modifiée, d'un projet d'arrêté-cadre de la ministre de la décentralisation, de la réforme de l'Etat et de la fonction publique relatif aux conditions d'utilisation des technologies de l'information et de la communication par les organisations syndicales dans la fonction publique de l'Etat.
Cet arrêté fixe un cadre général en matière d'utilisation des messageries professionnelles et des réseaux intranet de l'administration et prévoit, en particulier, un socle minimal de droits et obligations qui devra, en application de l'article 3-1 du décret n° 82-447 du 28 mai 1982 modifié, être par la suite adapté et mis en œuvre dans chaque ministère, établissement public et autorité administrative indépendante, par une décision du Premier ministre, du ministre ou du chef de service, après avis du comité technique compétent.
La Commission s'est dès lors prononcée sur les conditions de la mise à disposition des adresses de messagerie aux organisations syndicales au travers de sa délibération n° 2014-309 du  17 juillet 2014.
Si la Commission estime que la mise à disposition des adresses électroniques d'agents publics au profit d'organisations syndicales est pertinente, en revanche, il lui apparait que la rédaction de l'article 3 du projet de décret soumis à son examen devrait être corrigée pour viser  les actes autorisant la création de traitement automatisé de données à caractère personnel relatif à la gestion des ressources humaines concernant des agents de l'Etat , en lieu et place des autorisations et déclarations visées mentionnées dans sa version actuelle.
Par ailleurs, la Commission estime qu'il serait opportun que le projet de décret vise précisément les actes règlementaires impactés par cette modification.
Enfin, la Commission relève que le projet de décret qui lui a été soumis fixe les critères de représentativité des organisations syndicales, d'une part, et pose des règles particulières s'agissant de l'accès aux technologies de l'information et de la communication en périodes électorales, d'autre part.
Ces dispositions n'appellent pas d'observation particulière.
A toutes fins utiles, la Commission précise qu'il n'est pas nécessaire de lui soumettre pour avis les décisions des ministres ou chefs de service fixant, en application de l'article 3-1 du décret n° 82-447 du 28 mai 1982 modifié relatif à l'organisation du droit syndical dans la fonction publique, les conditions d'utilisation des technologies de l'information et de la communication par les organisations syndicales, dès lors qu'elles respectent les obligations et principes fixés dans l'arrêté-cadre précité. 
La Présidente
I. FALQUE-PIERROTIN
La Présidente de la Commission nationale de l'informatique et des libertés ; 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ; 
Vu le code pénal, notamment ses articles 121-2 et suivants, 131-13 et suivants, 226-16 et suivants et R. 625-10 et suivants ; 
Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu les décisions n° 2014-107C du 29 avril 2014, n° 2014-121C, n° 2014-124C et n° 2014-125C du 28 mai 2014 de la présidente de la Commission nationale de l'informatique et des libertés de procéder à une mission de contrôle auprès de la société X ; 
Vu les procès-verbaux n° 2014-107, n° 2014-121, n° 2014-124 et n° 2014-125 ; 
Constate les faits suivants :
La société X (ci-après la "société") a pour activité le commerce de détail d'ordinateurs, d'unités périphériques et de logiciels en magasin spécialisé. Elle compte 16 magasins en France et emploie environ 1000 salariés. 
Au 30 septembre 2013, le chiffre d'affaires de la société s'élevait à environ 434 millions d'euros pour un résultat net de près de 3,8 millions d'euros selon les chiffres librement accessibles sur le site www.infogreffe.com. 
Son siège social est situé [...]. 
La procédure de mise en demeure du 16 décembre 2013
Le 16 décembre 2013, la Présidente de la Commission nationale de l'informatique et des libertés (ci-après "CNIL" ou la "Commission") a mis en demeure la société X, dans un délai de deux mois, de mettre le dispositif de caméras de surveillance de son magasin Y OPERA (situé [...]) en conformité avec ses obligations légales. 
Il est rappelé qu'un même dispositif de surveillance peut relever tant de la loi n° 78-17 du 6 janvier 1978 modifiée, pour les caméras de vidéosurveillance installées dans des lieux non accessibles au public (bureaux et espaces de stockage par exemple) que de la loi n° 95-73 du 21 janvier 1995, pour les caméras de vidéoprotection déployées dans des lieux ouverts au public (espaces de vente du magasin par exemple).
En l'espèce, et s'agissant des caméras installées dans des zones uniquement accessibles au personnel et relevant du dispositif de vidéosurveillance, il a notamment été enjoint à la société de :- ne plus filmer de manière permanente les postes de travail des directeurs et des managers ainsi que l'espace de pause des salariés,- procéder à l'information des salariés, dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée, de la mise en œuvre d'un dispositif de vidéosurveillance. 
Par ailleurs, la mise en demeure a également traité de problématiques liées à l'accomplissement des formalités préalables, aux durées de conservation des images issues du dispositif de vidéosurveillance, à la sécurité et la confidentialité des données. 
Par courrier du 14 février 2014, la société a informé la Commission de la mise en œuvre de différentes mesures de mise en conformité. Elle a notamment indiqué avoir réorienté les caméras litigieuses et avoir délivré aux personnes concernées une information complète sur le dispositif de vidéosurveillance par voie de panneaux d'affichage insérés dans les zones réservées aux salariés. 
Le 15 mai 2014, un nouveau contrôle sur place a permis de confirmer ces affirmations justifiant la clôture de la procédure de mise en demeure par courrier du 26 août 2014. 
Les contrôles opérés au sein d'autres magasins Y en mai et juin 2014
Concomitamment, des contrôles ont été effectués au sein d'autres Y situés sur le territoire national afin de vérifier si les correctifs apportés au traitement mis en œuvre au sein d'Y OPERA avaient été dupliqués au sein des autres magasins de la société. 
Les 25 mai, 4, 5 et 6 juin 2014, des délégations de la CNIL se sont ainsi rendues dans les magasins implantés au Chesnay (Y de PARLY 2), à Rosny-Sous-Bois (Y de ROSNY 2), à Bordeaux (Y de Bordeaux) et à Paris (Y du Carrousel du Louvre). 
Il a été indiqué aux agents contrôleurs que la société X était seule compétente pour décider de l'implantation de caméras au sein de ses magasins laquelle relève d'une politique nationale standardisée ne tenant pas compte des spécificités propres à chacun des magasins. 
Lors de certains contrôles, il a également été relevé qu'aucune consigne particulière n'avait été récemment émise par le siège français s'agissant de la régularité de la mise en œuvre des dispositifs de vidéosurveillance. 
Or, il ressort des constats opérés et de l'exploitation des pièces communiquées par les magasins que certaines caméras continuent à filmer directement des salariés et que l'information relative au dispositif de vidéosurveillance demeure lacunaire. 
Sur la qualification de ces faits au regard de la loi du 6 janvier 1978
Un manquement à l'obligation de veiller à l'adéquation, à la pertinence et au caractère non excessif des données
Les délégations ont relevé, dans les Y du Carrousel du Louvre, de ROSNY 2 et de Bordeaux, que les caméras de vidéosurveillance installées dans les bureaux de la direction ne sont pas orientées uniquement vers les zones sensibles (porte d'accès ou coffre-fort) mais filment de manière directe et constante les postes de travail (annexe n°1). 
Il est également établi que certaines caméras filment tout ou partie des postes de travail (postes informatiques et tables de diagnostic technique) installés dans les ateliers de réparations (au sein des Y du Carrousel du Louvre, ROSNY 2 et Bordeaux - annexe n°1), les espaces de circulation (au sein d'Y du Carrousel du Louvre - annexe n°1) et les zones de stockage des marchandises (au sein des Y du Carrousel du Louvre et ROSNY 2 - annexe n°1) de certains Y. 
Enfin, il a été constaté qu'une caméra permet de filmer une partie de la salle de pause mise à disposition des salariés ainsi que les vestiaires. Sur ce dernier point, la délégation a été informée que cet espace avait vocation à être réaménagé (Y de Bordeaux - annexe n°1). 
Au sein de chacun des magasins contrôlés, les délégations ont constaté la mise en œuvre de nombreuses mesures de sécurité physique et logique empêchant que des tiers aient accès aux locaux réservés au personnel (portes blindées coupe-feu, code d'accès, badges, alarmes sur détection de mouvement, identifiant et mot de passe pour accéder aux images et aux enregistrements issues des dispositifs...).
Si la surveillance de zones sensibles est justifiée par des impératifs de sécurité, le placement sous surveillance permanente de salariés, attentatoire à leur vie privée, ne peut toutefois intervenir que dans des circonstances exceptionnelles tenant, par exemple, à la nature de la tâche à accomplir au sens de l'article L.1121-1 du code du travail. 
En l'espèce, la surveillance opérée, qui s'ajoute aux mesures de sécurité déjà déployées, est disproportionnée au regard de la finalité de prévention des atteintes aux personnes et aux biens. Dès lors, les faits constatés constituent un manquement à l'article 6-3° de loi Informatique et Liberté selon lequel les données à caractère personnel faisant l'objet d'un traitement doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs. 
Un manquement à l'obligation d'informer les personnes
Il ressort des constats opérés et de l'exploitation des pièces communiquées par les magasins que les salariés sont informés de la mise en œuvre de dispositifs de vidéosurveillance par le règlement intérieur, dont ils reçoivent copie lors de leur embauche. 
Ce dernier précise en effet en son article 2.5 la finalité poursuivie par le dispositif, à savoir la protection du personnel, du matériel et des biens, les principales zones dans lesquelles la surveillance est opérée et l'existence d'une déclaration du traitement auprès de la CNIL.
Dans certains magasins (Y du Carrousel du Louvre, PARLY 2 et Bordeaux), cette information est complétée par un affichage peu visible des salariés et situé exclusivement en zone ouverte au public faisant état du droit d'accès des personnes aux images les concernant en renvoyant, pour deux magasins, à la loi du 6 janvier 1978 modifiée (Y du Carrousel du Louvre et PARLY 2). 
Par ailleurs, il a été indiqué aux délégations de contrôle qu'une information spécifique au dispositif de vidéosurveillance était dispensée oralement lors de l'embauche des salariés. 
L'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée impose au responsable du traitement de fournir à la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant des informations sur l'identité du responsable du traitement, la finalité de ce traitement, les destinataires, leurs droits d'accès, de rectification et, le cas échéant, d'opposition aux données les concernant. 
De plus, l'article 90 du décret du 20 octobre 2005 modifié pris en application de la loi du 6 janvier 1978 modifiée prévoit, sauf collecte à distance, que l'information visée à l'article 32 précité doit être délivrée dans un document écrit.
En l'espèce, l'information délivrée par la société est lacunaire. En effet, dans l'un des magasins aucune référence n'est faite quant à l'existence et aux modalités d'exercice des droits que détiennent les salariés à l'égard du traitement de vidéosurveillance (Y de ROSNY 2), dans d'autres cette mention est insuffisamment lisible et complète du fait de la taille ou de l'emplacement des affiches (Y du Carrousel du Louvre, de Bordeaux et de Parly 2). 
Ces faits constituent un manquement à l'article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée précitée. 
Il est également rappelé qu'en application des articles 121-2, 131-13, 131-41 et R. 625-10 du code pénal combinés, le fait pour la personne morale responsable d'un traitement de ne pas informer, dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d'une peine d'amende pouvant atteindre 7 500 euros. 
En conséquence, la Présidente met en demeure la société X, sise [...], sous un délai de deux (2) mois à compter de la notification de la présente décision et pour l'ensemble des magasins Y implantés sur le territoire français, de :
- veiller à ce que la mise en œuvre de chaque dispositif de vidéosurveillance ne soit pas disproportionnée au regard de sa finalité, en particulier ne pas placer les salariés sous surveillance permanente pendant leurs heures de travail effectif comme sur leur temps de pause, en adoptant, par exemple, des mesures de masquage ou de repositionnement des caméras, sauf à justifier de circonstances propres à la nature de la tâche à accomplir ;
- procéder à l'information des salariés, dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée, de la mise en œuvre d'un dispositif de vidéosurveillance, par exemple, par le biais d'un affichage complet diffusé au sein des locaux réservés au personnel faisant notamment état du droit d'accès ;
- justifier auprès de la CNIL que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti. 
À l'issue de ce délai, si la société X s'est conformée à la présente mise en demeure, il sera considéré que la procédure est close et il lui sera adressé un courrier en ce sens. 
À l'inverse, s'il est constaté que la société X ne s'est pas conformée à la présente mise en demeure, un rapporteur pourra être désigné et demander à la formation restreinte de la Commission de prononcer l'une des sanctions prévues par l'article 45 de la loi du 6 janvier 1978 modifiée. 
 
La Présidente,
 
Isabelle FALQUE-PIERROTIN