AgentPublic/cnil huggingface dataset:
client, préalablement informé de l'objectif poursuivi (par exemple, faciliter le paiement des clients réguliers). La durée de conservation ne saurait alors excéder la durée nécessaire à l'accomplissement de la finalité visée par le traitement. Le consentement doit prendre la forme d'un acte de volonté explicite et peut par exemple être recueilli par l'intermédiaire d'une case à cocher, non précochée par défaut. Il ne peut résulter de l'acceptation de conditions générales. La commission recommande par ailleurs que le responsable de traitement intègre directement sur son site marchand un moyen simple et gratuit de revenir sur le consentement donné pour la conservation des données de la carte, afin de faciliter les achats ultérieurs.De manière générale, les données relatives au cryptogramme visuel ne doivent pas être conservées au-delà du temps nécessaire à la réalisation de chaque transaction, y compris en cas de paiements successifs ou de conservation du numéro de la carte pour les achats ultérieurs.Lorsque la date d'expiration de la carte bancaire est atteinte, les données relatives à celles-ci doivent être supprimées.Concernant la gestion des listes d'opposition à recevoir de la prospection :Lorsqu'une personne exerce son droit d'opposition à recevoir de la prospection auprès d'un responsable de traitement, les informations permettant de prendre en compte son droit d'opposition doivent être conservées au minimum trois ans à compter de l'exercice du droit d'opposition. Ces
données ne peuvent en aucun cas être utilisées à d'autres fins que la gestion du droit d'opposition et seules les données nécessaires à la prise en compte du droit d'opposition doivent être conservées (par exemple, l'adresse électronique).Concernant les statistiques de mesure d'audience :Au sujet des statistiques de mesure d'audience, les informations stockées dans le terminal des utilisateurs (par exemple, les cookies) ou tout autre élément utilisé pour identifier les utilisateurs et permettant la traçabilité des utilisateurs ne doivent pas être conservés au-delà de treize mois. Les nouvelles visites ne doivent pas prolonger la durée de vie de ces informations.Les données de fréquentation brutes associant un identifiant ne doivent pas être conservées plus de treize mois. Au-delà de ce délai, les données doivent être soit supprimées, soit anonymisées.
Article 6 
L'information, le consentement et l'exercice des droits des personnes.Au moment de la collecte des données, la personne concernée est informée de l'identité du responsable du traitement, des finalités du traitement, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à leur égard, d'un défaut de réponse, des destinataires des données, de l'existence et des modalités d'exercice de ses droits d'accès, de rectification et d'opposition au traitement de ses données. La commission rappelle que, lorsque les données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6° de l'article 32. Cette disposition vise les questionnaires au sens large et, notamment, les formulaires à compléter sur un site web.Lorsque les données à caractère personnel n'ont pas été recueillies directement auprès des personnes concernées, les modalités d'information des personnes sont prévues par les dispositions de l'article 32-III de la loi.Il doit également être prévu :a) Le recueil du consentement exprès et spécifique de la personne concernée, dans les cas suivants :
- la prospection réalisée au moyen des dispositifs visés par l'article L. 34-5 du code des postes et des communications électroniques (système automatisé de communications électroniques au sens de l'article L. 32 du CPCE - SMS, MMS, automate d'appel, Bluetooth, etc. - télécopieur et courrier électronique). Toutefois, dans les conditions visées par l'article L. 34-5 du CPCE, le recueil du consentement n'est pas requis lorsque le courrier électronique concerne des produits ou services analogues ;- la cession à des partenaires des adresses électroniques ou des numéros de téléphone utilisés à des fins de prospection directe au moyen des dispositifs précités visés par l'article L. 34-5 du CPCE ;- la collecte ou la cession des données susceptibles de faire apparaître directement ou indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes ou qui sont relatives à la vie sexuelle de celle-ci (par exemple, eu égard au type de documentation demandé, à la nature du produit acheté, du service ou de l'abonnement souscrit) ;
b) La possibilité de permettre à la personne concernée de s'opposer de manière simple et dénuée d'ambiguïté, au moment de la collecte de ses données (article 96 du décret du 20 octobre 2005 modifié), dans les cas suivants :
- la prospection par voie postale ou téléphonique avec intervention humaine ;- la prospection directe réalisée au moyen d'un courrier électronique pour un produit ou service analogue, conformément aux dispositions de l'article L. 34-5 du CPCE ;- la prospection entre professionnels (sauf en cas d'utilisation d'une adresse générique) lorsque l'objet du message est en rapport avec l'activité du professionnel ;- la cession d'adresse postale et de numéros de téléphone utilisés à des fins de prospection avec intervention humaine ;- la cession à des partenaires de données relatives à l'identité (à l'exclusion du code interne de traitement permettant l'identification du client) ainsi que les informations relatives à la situation familiale, économique et financière visées à l'article 3 (d), dès lors que les organismes destinataires s'engagent à ne les exploiter que pour s'adresser directement aux intéressés, pour des finalités exclusivement commerciales.
Les consommateurs qui ne souhaitent pas faire l'objet de prospection commerciale par voie téléphonique peuvent s'inscrire gratuitement sur la liste d'opposition au démarchage téléphonique prévue par les articles L. 223-1 et suivants du code de la consommation. Il est notamment interdit à un professionnel, directement ou par l'intermédiaire d'un tiers agissant pour son compte, de démarcher téléphoniquement un consommateur inscrit sur la liste d'opposition, sauf en cas de relations contractuelles préexistantes. La location ou la vente de fichiers contenant des données téléphoniques et comportant les coordonnées d'un ou de plusieurs consommateurs inscrits sur la liste est également interdite.Le contrôle du respect de ces obligations est assuré par les services de la direction générale de la concurrence, de la consommation et de la répression des fraudes du ministère de l'économie, de l'industrie et du numérique.Le consentement visé au a est une manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées pour certaines finalités. L'acceptation des conditions générales d'utilisation n'est donc pas une modalité suffisante du recueil du consentement des personnes. Une action positive et spécifique de l'utilisateur est requise (par exemple, une case à cocher dédiée, non précochée).La participation à un jeu-concours ou une loterie ne peut être conditionnée à la réception de prospection
directe de la part du responsable de traitement ou de ses partenaires, de même que l'achat d'un bien, le bénéfice d'une réduction ou la fourniture d'un service.Dans le cas d'une collecte via un formulaire, le droit d'opposition ou le recueil du consentement préalable doit pouvoir s'exprimer par un moyen simple et spécifique, tel qu'une case à cocher. Les mentions d'information et les modes d'expression de l'opposition ou du recueil du consentement doivent être lisibles, en langage clair et figurer sur les formulaires de collecte.Lorsque la collecte des données intervient par voie orale, l'intéressé est mis en mesure d'exercer son droit d'opposition ou de donner son consentement avant la collecte de ses données.Après la collecte des données :
- la personne concernée a le droit de s'opposer, sans frais, à ce que ses données soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur. Cette opposition peut intervenir à tout moment et n'a pas à être motivée ;- les messages adressés à des fins de prospection directe, au moyen de dispositifs visés par l'article L. 34-5 du CPCE, doivent mentionner des coordonnées permettant de demander à ne plus recevoir de telles sollicitations.
Le responsable du traitement auprès duquel le droit d'opposition a été exercé informe sans délai de cette opposition tout autre responsable de traitement qu'il a rendu destinataire des données à caractère personnel qui font l'objet de l'opposition.Conformément à l'article 39 de la loi, toute personne peut demander au responsable de traitement la communication, sous une forme accessible, des données à caractère personnel la concernant ainsi que toute information quant à l'origine de celles-ci. Le droit de rectification s'exerce dans les conditions prévues à l'article 40 de la loi.
Article 7
L'utilisation d'un service de communication au public en ligne (site web).La présente norme s'applique également dans le cas où le responsable de traitement utilise un service de communication au public en ligne pour réaliser les finalités définies à l'article 2.Des données de connexion (date, heure, adresse internet, protocole de l'ordinateur du visiteur, page consultée) pourront être exploitées à des fins de mesure d'audience. Dans ce cas, le consentement préalable des personnes n'est pas nécessaire, à condition qu'elles disposent d'une information claire et complète délivrée par l'éditeur du site web, d'un droit d'opposition, d'un droit d'accès aux données collectées et qu'elles ne soient pas recoupées avec d'autres traitements tels que les fichiers clients.L'information relative à la finalité et aux droits des personnes peut être présente dans les courriers électroniques envoyés, sur la page d'accueil du site, et dans ses conditions générales d'utilisation, par exemple.Concernant l'exercice du droit d'opposition à l'analyse de sa navigation, l'outil permettant de désactiver la traçabilité mise en œuvre par l'outil d'analyse de fréquentation doit remplir les conditions suivantes :
- un accès et une installation aisés pour tous les internautes sur l'ensemble des terminaux, des systèmes d'exploitation et des navigateurs web ;- aucune information relative aux internautes ayant décidé d'exercer leur droit d'opposition ne doit être transmise à l'éditeur de l'outil d'analyse de fréquentation.
Par ailleurs, tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
- de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;- des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur :
- soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;- soit est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.
Les cookies de mesure d'audience peuvent être déposés et lus sans recueillir le consentement des personnes lorsqu'ils remplissent les conditions visées à l'article 6 de la délibération n° 2013-378 du 5 décembre 2013, portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978.De manière générale, pour l'ensemble des traitements mis en œuvre pour les finalités définies à l'article 2 de la présente norme qui utilisent des données collectées par le biais des technologies visées à l'article 32-II de la loi, la présente norme renvoie aux recommandations de la délibération n° 2013-378 du 5 décembre 2013 susvisée.Lorsque l'utilisation d'un service de communication au public en ligne donne lieu à la création d'un compte par l'utilisateur, les données doivent être effacées dès que le compte est supprimé, sous réserve des exceptions listées à l'article 5 de la présente norme.S'agissant des comptes n'étant plus utilisés depuis un certain laps de temps par l'utilisateur, un délai doit être fixé pour déterminer la durée à partir de laquelle ces comptes doivent être considérés comme des comptes inactifs. Au terme de ce délai, les données relatives au compte inactif doivent être supprimées. Le responsable de traitement doit avertir l'utilisateur par tous les moyens disponibles avant de procéder à cette suppression et lui donner la possibilité de manifester sa volonté contraire. Il est envisageable que la personne
concernée donne son consentement spécifique pour que tout ou partie des données soient archivées par le responsable de traitement, pour une durée déterminée et raisonnable, en vue d'une réactivation future du compte.Le laps de temps au terme duquel un compte doit être considéré comme inactif doit être défini par le responsable de traitement conformément aux dispositions de l'article 6 (5°) de la loi du 6 janvier 1978 modifiée. A titre indicatif, une durée de deux ans semble par exemple appropriée pour un compte créé sur un site de rencontres.Dans tous les cas, le responsable de traitement doit ménager la possibilité pour la personne concernée d'exercer ses droits si des données à caractère personnel la concernant restent traitées indépendamment de la clôture du compte et de la suppression des données de celui-ci.
Sécurités.Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données visées à l'article 3, et notamment empêcher qu'elles soient déformées ou endommagées ou que des tiers non autorisés y aient accès.En particulier, les accès aux traitements de données doivent nécessiter une authentification des personnes accédant aux données, au moyen par exemple d'un code d'accès et d'un mot de passe individuels, suffisamment robustes et régulièrement renouvelés, ou par tout autre moyen d'authentification. Les mots de passe ne doivent pas être stockés en clair.Dans le cas de l'utilisation d'un service de communication au public en ligne, le responsable de traitement prend les mesures nécessaires pour se prémunir contre toute atteinte à la confidentialité des données traitées. Les données transitant sur des canaux de communication non sécurisés doivent notamment faire l'objet de mesures techniques visant à rendre ces données incompréhensibles à toute personne non autorisée (par exemple, protocole HTTPS).Les accès aux données relatives aux moyens de paiement doivent faire l'objet de mesures de traçabilité permettant de détecter a posteriori tout accès illégitime aux données et de l'imputer à la personne ayant accédé illégitimement à ces données.Lorsqu'un moyen de paiement à distance est utilisé, le responsable de traitement doit prendre les mesures organisationnelles et techniques appropriées afin de préserver la sécurité, l'intégrité et la
confidentialité des numéros de cartes bancaires contre tout accès, utilisation, détournement, communication ou modification non autorisés en recourant à des systèmes de paiement sécurisés conformes à l'état de l'art et à la réglementation applicable. Ces données doivent être notamment chiffrées par l'intermédiaire d'un algorithme réputé  fort .Lorsque le responsable de traitement conserve les numéros de carte bancaire pour une finalité de preuve en cas d'éventuelle contestation de la transaction, ces numéros doivent faire l'objet de mesures techniques visant à prévenir toute réutilisation illégitime, ou toute réidentification des personnes concernées. Ces mesures peuvent notamment consister à stocker les numéros de carte bancaire sous forme hachée avec utilisation d'une clé secrète.De manière générale, s'agissant de mesures de sécurité à mettre en place pour les données relatives aux cartes bancaires, la présente norme renvoie vers l'article 5 de la délibération n° 2013-358 du 14 novembre 2013 susvisée.Concernant les pièces d'identité, celles-ci ne doivent être accessibles qu'à un nombre de personnes restreint, et des mesures de sécurité doivent être mises en œuvre afin d'empêcher toute réutilisation détournée de ces données (apposition d'un marquage spécifique, fourniture du seul recto de la pièce d'identité et photocopie en noir et blanc par exemple).
Article 9
Transfert de données vers l'étranger.La présente norme simplifiée couvre les transferts de données mentionnées à l'article 3 et collectées pour les finalités énumérées à l'article 2, lorsqu'une des conditions suivantes est réunie :
- les transferts s'effectuent à destination d'un pays reconnu par la Commission européenne comme assurant un niveau de protection adéquat en raison de sa législation interne ou de ses engagements internationaux, souscrits notamment à l'issue de négociations avec la Commission européenne, en vue de la protection de la vie privée et des libertés et droits fondamentaux des personnes ;- ils sont encadrés par les clauses contractuelles types de la Commission européenne ou par des règles internes d'entreprise ( Binding Corporate Rules , ou BCR) ou des clauses contractuelles ad hoc dont la CNIL a préalablement reconnu qu'elles garantissent un niveau de protection suffisant de la vie privée et des droits fondamentaux des personnes ;- ils correspondent à l'une des exceptions prévues à l'article 69 de la loi du 6 janvier 1978 modifiée, dont le champ d'application est limité à des cas de transferts ponctuels et exceptionnels. Ainsi les transferts répétitifs, massifs ou structurels de données personnelles ne sont pas couverts par la présente norme et ils doivent faire l'objet de formalités préalables auprès de la CNIL dans les conditions prévues par ladite loi.
Seules peuvent être transférées les données pertinentes au regard de la finalité poursuivie par le transfert.
Article 10
Exclusion du bénéfice de la norme simplifiée.Tout traitement non conforme aux dispositions de la présente délibération devra faire l'objet d'une déclaration normale auprès de la CNIL ou d'une inscription à la liste des traitements établie par le correspondant à la protection des données à caractère personnel.Les traitements susceptibles d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat, notamment ceux ayant pour finalité l'évaluation du risque présenté par une commande ou un client, doivent faire l'objet d'une demande d'autorisation auprès de la CNIL.Les dispositions de la présente norme ne sont pas applicables aux secteurs d'activités suivants : établissements bancaires ou assimilés, entreprises d'assurances, de santé ou d'éducation.
Article 1
Les organismes privés et publics ayant effectué une déclaration simplifiée en référence à la norme simplifiée n° 48 (délibération n° 2012-209 du 21 juin 2012) qui ne respectent pas les conditions fixées par la présente délibération disposent d'un délai de douze mois à compter de la publication de celle-ci pour mettre leur traitement en conformité. Il n'est pas nécessaire que ces organismes procèdent à un nouvel engagement de conformité à la présente norme.La délibération n° 2012-209 du 21 juin 2012 portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel relatifs à la gestion de clients et de prospects (norme simplifiée n° 48) est abrogée.
Article 12
La présente délibération sera publiée au Journal officiel de la République française.
 
Pour la présidente :
La vice-présidente déléguée,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,Saisie par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet un projet de décret en Conseil d'Etat relatif à l'interopérabilité du système d'information des prestations de services internationales (SIPSI) et du système d'information de la carte d'identification professionnelle des salariés du bâtiment et des travaux publics (SI­ CIP) ainsi qu'à la dématérialisation de la déclaration subsidiaire de détachement effectuée par les maîtres d'ouvrage et donneurs d'ordre ;Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code du travail, notamment ses articles L. 1262-2 et suivants, R. 1263-1 et suivants, L. 8291-1 et suivants et R. 8291-1 et suivants ;Vu la loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels, notamment son article 105 ;Vu la loi n° 2015-990 du 6 août 2015 pour la croissance, l'activité, l'égalité des chances économiques, notamment son article 282 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée
relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°), a) ;Vu le décret n° 2016-1044 du 29 juillet 2016 relatif à la transmission dématérialisée des déclarations et attestations de détachement de salariés et autorisant un traitement des données à caractère personnel qui y figurent ;Vu le décret n° 2016-175 du 22 février 2016 relatif à la carte d'identification professionnelle des salariés du bâtiment et des travaux publics ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2016-160 du 19 mai 2016 portant avis sur un projet de décret relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé  SIPSI  ;Vu la délibération n° 2016-024 du 28 janvier 2016 de la Commission nationale de l'informatique et des libertés portant avis sur un projet de décret en Conseil d'Etat relatif au dispositif national de la carte d'identification professionnelle des salariés du bâtiment et des travaux publics ;Vu le dossier et ses compléments ;Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,Emet l'avis suivant :La commission a été saisie par le ministère du Travail, de l'Emploi, de la Formation professionnelle et du Dialogue social d'une demande d'avis concernant un projet un projet de décret en