AgentPublic/cnil huggingface dataset:
Néanmoins, il peut être fait exception à cette interdiction par application de l’article 69 de la loi précitée, notamment par décision de la Commission nationale de l’informatique et des libertés lorsqu’un niveau de protection suffisant est apporté aux données transférées par l’intermédiaire de règles internes, c’est-à-dire des règles contraignantes d’entreprise ( binding corporate rules - BCR) constituant un code de conduite interne s’imposant à toutes les entités d’un même groupe.
Au terme d’une procédure de coopération, la Commission et les autorités européennes de protection des données compétentes ont reconnu les BCR responsable de traitement du groupe RAKUTEN (dont le siège social mondial est situé à Crimson House, 1-14-1 Tamagawa, Setagaya-ku, 158-0094, Tokyo, Japon) conformes aux exigences posées par les documents de référence adoptés par le Groupe de travail de l’article 29.
Ainsi, ces BCR sont réputées apporter un niveau de protection suffisant aux données personnelles transférées au sein du groupe RAKUTEN,
Les organismes mentionnés à l’article 1er ci-dessous, qui se réfèreront à la présente autorisation unique (n° BCR-039)
 et adresseront à la Commission un engagement de conformité à celle-ci, seront autorisés à mettre en œuvre leurs transferts.
Un transfert ne peut être autorisé que dans la mesure où :
lorsque cela est requis, la formalité relative au traitement auquel ce transfert se rattache a été dûment accomplie auprès de la Commission nationale de l’informatique et des libertés, et 
le transfert est réalisé dans le strict respect du cadre défini par cette formalité.
Tout transfert de données à caractère personnel qui excèderait le cadre ou les exigences définis par la présente autorisation unique devra faire l’objet d’une décision d’autorisation spécifique.
Article 1er : Sur les responsables de traitement / champ d’application
Seules les entités du groupe RAKUTEN, agissant en qualité de responsable de traitement, étant juridiquement liées par les BCR responsable de traitement du groupe RAKUTEN, et ayant mis en œuvre les engagements pris au titre des BCR peuvent adresser un engagement de conformité à la présente autorisation unique.
Article 2 : Sur les finalités des transferts
Conformément au champ matériel et à la description des transferts couverts par les BCR responsable de traitement du groupe RAKUTEN, et à leurs annexes, seuls sont autorisés les transferts de données à caractère personnel ayant pour finalités :
Celles relatives aux salariés et assimilés : 
	
gestion des ressources humaines à des fins de gestion de l’organisation ;
gestion de la mobilité et du remplacement du personnel ;
création de comptes utilisateurs et création des liens avec d’autres systèmes ;
gestion de l’activité, des performances, des évaluations et des informations relatives aux avantages et indemnités (notamment aux stock-options) ;
formation ;
fourniture de comptes utilisateurs sur les systèmes informatiques ;
fourniture de matériels BYOD ;
optimisation et amélioration des systèmes informatiques ;
fourniture d’un support informatique ;
enquêtes et réponses à des incidents de sécurité ;
continuité de l’activité (notamment sauvegarde des données et reprise d’activité après sinistre) ;
recrutement ;
évaluation des qualifications des candidats ;
communication aux candidats d’informations relatives aux opportunités d’emplois dans le groupe ;
communications avec les candidats à propos de leur candidature ;
vérification des informations détenues sur les candidats qui ont déjà postulé et gestion du vivier de candidatures.
Celles relatives aux clients : 
	
promotion des ventes et toute action de marketing (notamment publicité ciblée) ; 
fourniture des services ; 
gestion de la relation avec et entre les utilisateurs et les marchands ; 
réalisation des transactions et bonne exécution des contrats ; 
règlement des litiges ; 
utilisation et optimisation des plateformes globales ; 
fourniture des services de paiement et de récompenses aux utilisateurs et aux marchands ; 
vérification d’identité, conservation de l’historique des transactions et autres exigences en matière de conformité, conformément à la loi applicable ; 
détection et lutte contre les fraudes ;
réalisation d’analyses et de statistiques ; 
personnalisation de la plateforme ; 
recherches/analyses des données à des fins de pilotage de l'activité; 
continuité de l’activité (notamment sauvegarde des données et reprise d’activité après sinistre).
Celles relatives aux prestataires 
	
sélection et gestion de la relation avec les prestataires.
Article 3 : Sur les catégories de données personnelles transférées
Conformément au champ matériel et à la description des transferts couverts par les BCR responsable de traitement du groupe RAKUTEN et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les catégories de données à caractère personnel suivantes :
Pour les transferts relatifs aux données personnelles des clients
état civil/identité/données d’identification ;
vie professionnelle ;
vie personnelle ;
données de connexion ;
données de localisation ;
informations d’ordre économique et financier ;
décès des personnes ;
Pour les transferts relatifs aux données personnelles des salariés et assimilés
état civil/identité/données d’identification ;
vie professionnelle ;
vie personnelle ;
données de connexion ;
informations d’ordre économique et financier ;
décès des personnes ;
Pour les transferts relatifs aux données personnelles des prestataires
état civil/identité/données d’identification ;
vie professionnelle ;
informations d’ordre économique et financier.
 
Article 4 : Sur les catégories de personnes concernées par les transferts
Conformément au champ matériel et à la description des transferts couverts par les BCR responsable de traitement du groupe RAKUTEN et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les données à caractère personnel relatives aux catégories de personnes suivantes :
salariés et assimilés (stagiaires, candidats, …),
clients (notamment internautes, utilisateurs et marchands),
prestataires.
Article 5 : Sur les destinataires habilités à accéder aux données transférées
Seules peuvent être habilitées à accéder aux données les entités du groupe RAKUTEN juridiquement liées aux BCR responsable de traitement du groupe RAKUTEN dont la liste à jour a été fournie à la Commission nationale de l'informatique et des libertés.
Article 6 : Sur les informations relatives à chaque transfert
Les responsables de traitement doivent tenir à disposition des services de la Commission nationale de l'informatique et des libertés une liste (cf. modèle proposé en annexe 1 de la présente délibération) détaillée et à jour des transferts effectués sur la base des BCR responsable de traitement du groupe RAKUTEN, précisant, pour chaque transfert, les informations suivantes :
la finalité générale du transfert ;
la ou les catégories de données à caractère personnel transférées ;
la ou les catégories de personnes concernées par le transfert ;
les informations relatives à chaque destinataire des données :
	
raison sociale ;
nom du groupe auquel le destinataire appartient et ayant adopté des BCR responsable de traitement ;
pays d’établissement ;
catégorie de destinataire (ex : maison-mère, filiale) et 
nature du traitement opéré par ce dernier. 
Article 7 : Sur les droits d'accès, de rectification et d'opposition des personnes
Les droits d’accès, de rectification et d’opposition des personnes concernées définis au chapitre V de la loi du 6 janvier 1978 modifiée s’exercent auprès du ou des services que les responsables de traitement auront désignés.
 
Article 8 : Sur l'information des personnes
Les responsables de traitement doivent avoir clairement informé les personnes concernées de l’existence de transferts de données vers des pays tiers et des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, dans les conditions prévues par les dispositions des articles 90 et 91 du décret du 20 octobre 2005 modifié.
La présente délibération sera publiée au Journal officiel de la République française.
 
Pour la Présidente
Le Vice-Président délégué
 
Marie-France MAZARS
 
Annexe 1 : Modèle de documentation sur les transferts de données à caractère personnel encadrés par des BCR responsable de traitement 
 
 
Transfert n°1
Modifications 
(préciser la date et l’objet)
Date de mise en œuvre
 
 
Finalité générale du transfert
 
 
Catégories de personnes concernées
 
 
Nature des données personnelles transférées
 
 
Destinataire 1
Raison sociale
 
 
Pays d’établissement
Type de destinataire
(ex : maison-mère, filiale)
 
 
Nature du traitement opéré par le destinataire 
(ex : lecture seule, saisie)
 
 
Destinataire 2
Raison sociale
 
 
Pays d’établissement
 
 
Type de destinataire
(ex : maison-mère, filiale)
 
 
Nature du traitement opéré par le destinataire 
(ex : lecture seule, saisie)
La Présidente
 
 
 
MONSIEUR LE PRESIDENT DIRECTEUR GENERAL
X 
 
 
Par FEDEX 
 
Références à rappeler dans toute correspondance :
CTX 2016-050 
 
 
Paris, le
 
 
Monsieur le Président directeur général,
 
Je fais suite à la décision n° 2016-058 que j’ai prise le 30 juin 2016 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi. 
 
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2016-072C.
 
Je prends acte de ce que vous avez mis en œuvre un nombre important de mesures afin de vous mettre en conformité avec les injonctions de la mise en demeure. En particulier, s’agissant du manquement relatif à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données, vous indiquez notamment avoir réduit de moitié le volume de données collectées au niveau de base  de la télémétrie, de sorte que ne soient traitées que les informations directement en lien avec l’état du système. Vous avez par ailleurs ajouté une modalité permettant aux utilisateurs de décider si leurs données de télémétrie seront ou non utilisées pour afficher de la publicité personnalisée.
Par ailleurs, s’agissant du manquement à l’obligation d’obtenir l’accord préalable des personnes concernées avant d’accéder à des informations sur leur équipement terminal de communications électroniques, je prends acte que la procédure d’installation de votre système d’exploitation a été modifiée et que, désormais, les utilisateurs sont obligés d’exprimer leurs choix de configuration afin de finaliser l’installation. Plus particulièrement, je relève qu’un écran d’installation impose aux utilisateurs de paramétrer l’identifiant publicitaire en le désactivant ou en laissant activé, puis de valider ce choix en cliquant sur le bouton accepter . J’attire toutefois votre attention sur le fait que l’activation de l’identifiant publicitaire ne dispense pas les développeurs d’application qui utiliseront cet identifiant de recueillir également l’accord des internautes.
 
 
S’agissant du manquement relatif à la sécurité des données, je prends acte de la mise en place d’une logique interdisant les combinaisons trop communes pour le choix du code PIN ainsi que d’une temporisation d’authentification au compte en cas de saisie incorrecte, le tout assurant une meilleure sécurité des données à caractère personnel.
A toutes fins utiles, j’appelle votre attention sur les derniers travaux de la Commission relative aux mots de passe qui l’ont conduit à adopter la recommandation n° 2017-012 du 19 janvier 2017, que vous trouverez ci-joint, qui propose aux professionnels des lignes directrices en la matière.
 
Je vous informe, par ailleurs, que s’il était constaté à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
 
Le service des sanctions reste à votre disposition pour tout complément d’information (01-53-73-22-22).
 
Je vous prie d’agréer, Monsieur le Président directeur général, l’expression de mes salutations distinguées.
 
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la défense d'une demande d'avis concernant un projet de décret autorisant la création d'un traitement automatisé de données à caractère personnel dénommé contrôle d'accès biométrique ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la défense ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2009-1180 du 5 octobre 2009 modifié fixant les attributions et l'organisation de la direction générale de l'armement ;
Vu le décret n° 2009-1178 du 5 octobre 2009 modifié portant organisation de l'administration centrale du ministère de la défense ;
Vu l'arrêté du 23 juillet 2010 portant approbation de l'instruction générale interministérielle sur la protection du secret de la défense nationale, notamment ses articles 70 à 84 sur la protection des lieux ;
Vu l'arrêté du 2 décembre 2009 modifié portant organisation de la direction générale de l'armement ;
Vu l'arrêté du 6 février 2008 portant création d'un traitement automatisé de données à caractère personnel relatif à la gestion des accès, des horaires et de la restauration pour les personnels et les visiteurs de la direction générale pour l'armement ;
Vu le dossier et ses compléments ;
 
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (CNIL) a été saisie pour avis par le ministère de la défense d'un projet de décret autorisant la création d'un traitement automatisé de données à caractère personnel dénommé contrôle d'accès biométrique .
Ce traitement portant sur des données biométriques est destiné à contrôler l'accès aux locaux d'un bâtiment situé en zone réservée et abritant des activités classifiées de défense du ministère de la défense.
Conformément à l'article 27-I (2°) de la loi du 6 janvier 1978modifiée, ce traitement doit être autorisé par décret en Conseil d'Etat, pris après avis motivé et publié de la CNIL.
Sur la finalité du traitement :
Le traitement a pour finalité le contrôle de l'accès aux locaux d'un bâtiment situé en zone réservée et abritant des activités classifiées de défense, par authentification biométrique de deux cents agents habilités des services du ministère de la défense.
Les zones réservées protégées par le contrôle d'accès biométrique doivent en effet faire l'objet de mesures de sécurité renforcées, conformément à l'arrêté du 23 juillet 2010 portant approbation de l'instruction générale interministérielle sur la protection du secret de la défense nationale. Des mesures particulières doivent notamment être prises pour limiter l'accès aux seules personnes spécifiquement habilitées et prévenir toute intrusion.
La finalité identifiée dans l'article 1er du projet de décret n'appelle aucune observation de la commission.
La commission considère que la finalité est déterminée, explicite et légitime.
Sur la nature des données traitées :
L'article 2 du projet de décret prévoit que les données à caractère personnel et informations enregistrées dans le traitement concernent les seuls agents habilités à pénétrer sur le site et sont constituées par :
- le nom de famille et le prénom ;
- le numéro d'identification du badge ;
- les dates et heures d'entrée et de sortie ;
- le gabarit de l'empreinte digitale de deux doigts de chaque main.
L'alinéa 2 de l'article 2 du projet de décret initialement soumis à l'avis de la CNIL énonçait que le composant contenant le gabarit est associé au badge d'accès biométrique, remis aux agents qui souhaitent accéder à la zone réservée, la correspondance entre ce gabarit et l'empreinte du porteur de la carte étant vérifiée lors du contrôle de l'accès au bâtiment.
La commission prend acte qu'en vue de lever tout risque de confusion, le ministère retient une nouvelle rédaction de l'alinéa 2 afin de préciser de manière explicite que le composant dans lequel sont stockées les données biométriques est intégré au badge d'accès biométrique.
Il est ensuite indiqué qu'un dispositif de secours est prévu, permettant l'accès au local sous un autre mode, en cas de défaillance du dispositif ou bien lorsque la prise d'empreintes est impossible à réaliser et enfin, que les visiteurs ne sont pas soumis à ce dispositif.
La commission estime que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur la durée de conservation des données :
L'article 3 du projet de décret initialement soumis à l'avis de la CNIL prévoyait que les données à caractère personnel mentionnées dans son article 2 sont effacées à la cessation définitive ou temporaire des fonctions de l'agent justifiant son accès au local situé en zone réservée, à l'exclusion des dates et heures d'entrée et de sortie qui sont conservées un an à compter de leur enregistrement.
La carte d'accès est restituée au terme de l'habilitation de l'agent en vue de sa destruction.
La commission prend acte que pour tenir compte de la durée de conservation traditionnellement recommandée s'agissant des éléments relatifs aux déplacements des personnes, le ministère a proposé une nouvelle rédaction de cette disposition et prévoit de conserver ces données six mois à compter de leur enregistrement.
Sur les destinataires des données :
L'article 4 du projet de décret prévoit que seuls peuvent accéder aux données enregistrées dans le traitement, pour les besoins exclusifs des missions de sécurité qui leur sont confiées :
- les personnels de la direction générale de l'armement chargés de la sécurité du site ;
- les personnels de la brigade de gendarmerie de l'armement chargées d'assurer la sécurité du bâtiment.
La commission considère que l'accès de ces agents aux données est justifié au regard de la finalité du traitement.
Sur l'information et les droits des personnes :
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes sont avisées de l'existence du traitement par voie d'affichage, envoi ou remise d'un document, ou par tout autre moyen équivalent.
Cette information mentionne notamment l'identité du responsable du traitement, la finalité poursuivie par le traitement, les destinataires des données, la durée de conservation et les modalités d'exercice des droits des personnes.
Les droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 susvisée s'exercent auprès du directeur du centre de maîtrise de l'information et de la direction générale de l'armement. Le droit d'opposition prévu au titre de l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas au traitement autorisé par le présent décret.
La commission considère que les modalités d'information et d'exercice des droits des personnes concernées sont satisfaisantes au regard des dispositions des articles 32 et suivants de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :
Concernant les dispositions de l'article 2, les gabarits des empreintes seront chiffrés et stockés uniquement sur le badge d'accès de l'agent.
En fonctionnement, l'application journalise les opérations d'accès réalisées avec le badge : identification du local demandé en accès, identité de la personne demandant cet accès via son numéro de badge et les informations personnelles qui y sont associées telles que les date et heure, le résultat de l'accès. Aucune autre information relative à l'identité du porteur de badge n'est journalisée.
En cas de défaillance du système, l'accès au local pourra se faire par des modalités documentées et encadrées par les gendarmes chargés d'assurer la protection de la zone.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11, 34 et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
 
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le II. 3 de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe dispose que :
S'agissant des modalités de conservation, la commission considère que le mot de passe ne doit jamais être stocké en clair. Elle recommande qu'il soit transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé.
 La commission estime de plus que le sel ou la clé doit être généré au moyen d'un générateur de nombres pseudo-aléatoires cryptographiquement sûr (c'est-à-dire basé sur un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), et ne pas être stocké dans le même espace de stockage que l'élément de vérification du mot de passe. 
La commission décide de la suppression de ces deux alinéas qu'elle remplace par un paragraphe rédigé comme suit :
 S'agissant des modalités de conservation, la commission considère que le mot de passe ne doit jamais être stocké en clair. Elle recommande que tout mot de passe utile à la vérification de l'authentification et devant être stocké sur un serveur soit préalablement transformé au moyen d'une fonction cryptographique non réversible et sûre (c'est-à-dire utilisant un algorithme public réputé fort dont la mise en œuvre logicielle est exempte de vulnérabilité connue), intégrant l'utilisation d'un sel ou d'une clé. 
La présente délibération est publiée au Journal officiel de la République française.
Fait le 22 juin 2017.
La présidente,
I. Falque-Pierrotin