AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,Saisie par le ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à la création de traitements de données à caractère personnel ayant pour finalité la gestion des comptes personnels de formation ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment le 1° du I de son article 27 ;Vu la loi n° 2014-288 du 5 mars 2014 relative à la formation professionnelle, à l'emploi et à la démocratie sociale ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2014-1717 du 30 décembre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé  Système d'information du compte personnel de formation  relatif à la gestion des droits inscrits ou mentionnés au compte personnel de formation ;Après avoir entendu M. Eric PERES,
commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Émet l'avis suivant :
Le 23 octobre 2014, la Commission a rendu un avis sur un projet de décret portant création par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'un traitement automatisé de données à caractère personnel, dénommé  Système d'information du compte personnel de formation , relatif à la gestion des droits inscrits ou mentionnés au compte personnel de formation.
La Commission a été par la suite saisie par le ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à la création, par certains des acteurs de la formation professionnelle, de traitements nécessaires à la mise en œuvre des comptes personnels de formation et à la connexion au  Système d'information du compte personnel de formation . 
Dans la mesure où ces traitements portent sur des données parmi lesquelles figurent des numéros d'inscription des personnes au répertoire national d'identification des personnes physiques, il y a lieu de faire application des dispositions du 1° du I de l'article 27 de la loi du 6 janvier 1978 modifiée qui prévoient que ce type de traitement doit être autorisé par décret en Conseil d'Etat pris après avis motivé et publié de la Commission.
Il est prévu que le projet de décret soumis pour avis à la Commission constitue un acte réglementaire unique, au sens des dispositions du IV de l'article 26 de la loi du 6 janvier 1978 modifiée, permettant la déclaration de plusieurs traitements. En vertu de ces dispositions, les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires peuvent en effet être autorisés par un acte réglementaire unique. 
La mise en œuvre de chaque traitement utilisé par les acteurs de la formation professionnelle visé par le II de l'article 1er du projet de décret soumis à la Commission devra être précédée d'un engagement de conformité faisant référence au présent décret, comme le prévoit l'article 7 de ce dernier. 
Afin de permettre à la Commission d'exercer un contrôle a priori sur ces traitements sensibles, ces engagements devront comporter un dossier technique décrivant le traitement mis en œuvre, ainsi que les mesures de sécurité physique et logicielle dont il est assorti, conformément à l'article 7 précité.
Sur la finalité du traitement :
Le projet de décret soumis pour avis à la Commission concerne les organismes paritaires collecteurs agréés, les organismes paritaires agréés au titre du congé individuel de formation, les régions ainsi que les opérateurs de conseil en orientation professionnelle qu'elles désignent en application de l'article L.6111-6 du code du travail, Pôle emploi, le fonds de développement pour l'insertion professionnelle des handicapés, l'association pour l'emploi des cadres, les missions locales ainsi que les permanences d'accueil, d'information et d'orientation et, enfin, l'agence des services et de paiement.
Aux termes de l'article 1er de ce projet de décret, ces organismes sont autorisés à créer au sein de leurs services les traitements nécessaires à la mise en œuvre des comptes personnels de formation et à la connexion au  Système d'information du compte personnel de formation , créé par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social et mis en œuvre par la Caisse des dépôts et consignations, en application du décret n°2014-1717 du 30 décembre 2014. 
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
L'article 2 du projet décret soumis à la Commission prévoit la possibilité de collecter et de traiter les données énumérées par l'article R.6323-15 du code du travail, soit des données relatives :
1.	Aux informations personnelles du titulaire du compte :
-	Numéro d'inscription au répertoire national d'identification des personnes physiques (NIR ou numéro de sécurité sociale) ;-	Date de création dans le référentiel CPF ;-	Sexe ;-	Civilité ;-	Nom patronymique, usuel, marital, prénoms ;-	Date et lieu de naissance ;-	Indication de notion de personnes ayant un handicap ;-	Adresses personnelles en France et à l'étranger ;-	Adresse de son lieu de travail ;-	Téléphone(s) et adresse électronique ;-	Date et caractère certifié ou présumé du décès.
2.	Aux données correspondantes aux comptes d'heures :
-	Heures acquises au titre du droit individuel à la formation ;-	Heures inscrites sur le compte personnel de formation ;-	Informations sur la nature des droits : période d'activité et d'inactivité (avec le motif de l'inactivité), date prises en compte ;-	 Numéro Siret de l'employeur ;-	Code profession ;-	Temps de travail ;-	Taux de temps de travail ;-	Rémunération du titulaire.
3.	Aux données des dossiers de formation :
-	Formations éligibles ;-	Historique des opérations effectuées sur le CPF ;-	Champs de saisie de commentaires par le titulaire ;-	Titre de la formation ;-	Intitulé complet de la formation ;-	Date d'accord du titulaire pour la mobilisation de ses heures CPF ;-	Numéro Siret de l'organisme de formation ;-	Raison sociale de l'organisme de formation ;-	Durée totale de la formation en heures prévue / Durée totale effectuée ;-	Coût total de la formation en euros prévue / coût total final ;-	Date de la formation ;-	Objectif de la formation ;-	Niveau/titre le plus élevé obtenu par le stagiaire ;-	Statut du stagiaire ;-	Catégorie socioprofessionnelle du stagiaire ;-	Si stagiaire salarié : numéro Siret, raison sociale et adresse de l'employeur, URSSAF, code APE/NAF, effectif employeur, OPCA de l'entreprise, code IDCC/CCN, imputation ;-	Rémunération possible sur les 0.2% ;-	Formation  présentielle  ou à distance ;-	Certification partielle ;-	Formation interne/externe ;-	Contenu de la formation ;-	Rythme de la formation ;-	Contact formation ;-	Parcours de formation ;-	Niveau d'entrée obligatoire ;-	Code niveau entrée ;-	Conditions spécifiques ;-	Prise en charge des frais possible ;-	Modalité entrée-sortie ;-	Lieu de formation ;-	Adresse inscription ;-	Coordonnées organisme ;-	Contact organisme ;-	Renseignement spécifique ;-	Code public visé ;-	Financement :o	Solde des droits acquis au titre du compte personnel de formation disponible en heures ;o	Solde du droit individuel à la formation
en heures ;o	Droits acquis en heures au titre du compte personnel de formation mobilisés pour la formation ;o	Heures du droit individuel à la formation mobilisées pour la formation ;o	Coût de la formation en euros, pour les frais pédagogiques, annexes, et montant de la rémunération prise en charge ;o	Pour les financements complémentaires, par financeur, et par type de financeur, nom de l'organisme financeur, nombre d'heures financées, montant financé en euros, commentaire.
4.	Aux données des passeports d'orientation, de formation et de compétences :
-	Études et formations suivies ;-	Diplômes et certifications obtenues ;-	Qualifications détenues et exercées ;-	Expérience professionnelle ;-	Aptitudes et compétences ;-	Permis de conduire ;-	Langues étrangères ;-	Assermentations.
5.	Aux données des annuaires techniques des gestionnaires des organismes :
-	Nom et prénom ;-	Organisme employeur ;-	Fonction ;-	Unité d'appartenance ;-	Téléphone et adresse électronique professionnels. 
La Commission considère que le traitement de l'ensemble de ces données est adéquat, pertinent et non excessif au regard des finalités poursuivies.
Sur la durée de conservation des données :
L'article 4 du projet de décret prévoit que les données précédemment visées peuvent être conservées au maximum un mois à l'issue des opérations requises pour la gestion des comptes personnels de formation. 
La Commission considère que cette durée de conservation n'excède pas celle qui est nécessaire à l'accomplissement des finalités poursuivies.
Sur les destinataires des données :
En application de l'article 3 du projet de décret examiné par la Commission, seuls les employés et agents spécifiquement habilités à cet effet pourront accéder aux données.
La Commission considère que ces personnes présentent un intérêt légitime à accéder aux données prévues par le projet de décret. 
Sur l'information des personnes :
Les responsables de traitement, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, procèderont à l'information des personnes concernées par affichage, par envoi ou remise d'un document, ou par tout autre moyen équivalent.
La Commission considère que les mesures prévues au titre de l'information des personnes sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Le projet de décret prévoit que les droits d'accès et de rectification, prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exercent directement auprès du ou des service(s) que le responsable de traitement doit impérativement désigner.
Il écarte expressément l'application du droit d'opposition pour motif légitime, comme le dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée le permet. 
Ces dispositions du projet de décret relatives aux droits d'accès, de rectification et d'opposition n'appellent pas d'observation de la part de la Commission. 
Sur la sécurité des données et la traçabilité des actions :
Tel que prévu par l'article 7 du projet de décret soumis à la Commission, la mise en œuvre d'un traitement est subordonnée à l'envoi d'un engagement de conformité aux dispositions du décret adopté par le ministre, accompagné d'un dossier technique sommaire décrivant le traitement mis en œuvre, ainsi que les mesures de sécurité physique et logicielle dont il est assorti.
A cet égard, en application de l'article 34 de la loi du 6 janvier 1978 modifiée, la Commission rappelle que le responsable d'un traitement de données à caractère personnel doit prendre toutes les précautions utiles au regard des risques présentés par le traitement pour préserver la sécurité des données à caractère personnel. 
Il doit ainsi au moment de leur collecte, durant leur transmission et leur conservation, empêcher que les données soient déformées, endommagées ou que des tiers non autorisés y aient accès.
Le responsable de traitement doit notamment s'assurer :-	que les utilisateurs s'authentifient avec un identifiant et un mot de passe respectant les recommandations de la CNIL, ou par tout autre moyen d'authentification apportant au moins le même niveau de sécurité ;-	qu'un mécanisme de gestion des habilitations permet de garantir que seules les personnes habilitées peuvent accéder aux données nécessaires à la réalisation de leurs missions ;-	que les mesures techniques adéquates garantissent la sécurité des données stockées ou échangées ;-	de la mise en place d'un mécanisme de journalisation des accès à l'application et des opérations.  
La Commission rappelle enfin que l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie pour avis les 28 septembre et 8 novembre 2010 par le ministère de l'intérieur de l'outre-mer et des collectivités territoriales d'un projet de décret en Conseil d'Etat portant création du traitement automatisé de données à caractère personnel dénommé  fichier national des interdits d'acquisition et de détention d'armes  (FINIADA) ;
Vu la convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n° 95-589 du 6 mai 1995 relatif à l'application du décret du 18 avril 1939 fixant le régime des matériels de guerre, armes et munitions ;
Vu le décret n°2009-450 du 21 avril 2009 fixant le régime des matériels de guerre, armes et munitions en Polynésie française ;
Vu le décret n°2009-451 du 21 avril 2009 fixant le régime des matériels de guerre, armes et munitions en Nouvelle-Calédonie ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n°2006-31 du 17 octobre 2006 portant avis sur le projet de décret en conseil d'Etat portant création de l'application de gestion du répertoire informatisé des propriétaires et possesseurs d'armes ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant : 
La Commission a été saisie par le ministère de l'intérieur d'un dossier de formalités préalables et d'un projet de décret portant création du traitement  Fichier national des interdits d'acquisition et de détention d'armes  (FINIADA).
Le projet de décret dont la Commission est saisie modifie les dispositions du décret n° 95-589 du 6 mai 1995 relatif à l'application du décret du 18 avril 1939 fixant le régime des matériels de guerre, armes et munitions, du décret n°2009-450 du 21 avril 2009 fixant le régime des matériels de guerre, armes et munitions en Polynésie française, ainsi que du décret n°2009-451 du 21 avril 2009 fixant le régime des matériels de guerre, armes et munitions en Nouvelle-Calédonie.
Le code de la Défense autorise les préfets à prononcer une décision d'interdiction d'acquisition ou de détention d'armes, soit lorsque le comportement ou l'état de santé d'une personne détentrice d'armes présente un danger grave pour elle-même ou pour autrui (IV de l'article L. 2336-4), soit pour des raisons d'ordre public ou de sécurité des personnes (huitième et neuvième alinéas de l'article L. 2336-5).
L'article 8 de la loi n°2001-1062 du 15 novembre 2001 relative à la sécurité intérieure, codifié à l'article L. 2336-6 du code de la défense, prévoit :  un fichier national automatisé nominatif recense les personnes interdites d'acquisition et de détention d'armes en application du IV de l'article L. 2336-4 et des huitième et neuvième alinéas de l'article L. 2336-5 .
La loi précise par ailleurs, que  les modalités d'application du présent article, y compris la nature des informations enregistrées, la durée de leur conservation ainsi que les autorités et les personnes qui y ont accès, sont déterminées par décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés .
La Commission considère que ce traitement relève de l'article 26-I. de la loi n°78-17 du 6 janvier 1978 modifiée.
La Commission rappelle qu'elle avait demandé, dans sa délibération n°2006-31 du 17 octobre 2006 portant avis sur le projet de décret en conseil d'Etat portant création de l'application de gestion du répertoire informatisé des propriétaires et possesseurs d'armes (AGRIPPA), à être saisie préalablement à la mise en œuvre du traitement FINIADA.
La Commission prend acte de ce qu'à la suite du rapport de la mission d'information sur les violences par armes à feu et l'état de la législation créée par la commission des lois le 28 octobre 2009, une proposition de loi relative à l'établissement d'un contrôle des armes à feu moderne, simplifié et préventif, a été déposée auprès de la présidence de l'Assemblée nationale le 30 juillet 2010.
Sur la finalité du traitement 
Le projet de décret soumis pour avis à l'examen de la Commission vise à créer le fichier national des interdits d'acquisition et de détention d'armes (FINIADA), qui a pour finalité le recensement des personnes ayant fait l'objet d'une mesure d'interdiction d'acquisition et de détention d'armes.
La consultation du FINIADA a pour objectifs opérationnels :
- d'améliorer l'effectivité de l'application de la législation relative à l'acquisition et à la détention d'armes, en permettant notamment aux personnels des préfectures et des forces de police, lors de l'instruction d'un dossier de demande d'autorisation ou de renouvellement d'acquisition ou de détention d'armes, de s'assurer que le demandeur ne fait pas l'objet d'une mesure d'interdiction d'acquisition ou de détention d'armes.
- de faciliter les vérifications opérées par les services préfectoraux dans le cadre des déclarations d'acquisition ou de détention d'armes.
- de faciliter également les vérifications opérées par les forces de l'ordre ou par les services des douanes.
Enfin, l'Office national de la chasse et de la faune sauvage, la fédération nationale de la chasse, les autorités compétentes pour délivrer et valider le permis de chasser en Nouvelle-Calédonie et Polynésie française et les armuriers bénéficieront d'un accès au système leur permettant de s'assurer qu'une personne n'est pas interdite d'acquisition ou de détention d'arme avant toute délivrance ou validation annuelle du permis de chasser ou toute vente d'armes.
Sur les données traitées
Le projet de décret prévoit que les catégories de données à caractère personnel enregistrées dans le traitement FINIADA sont les suivantes : état-civil (noms, prénoms, date et lieu de naissance), nationalité, domicile, profession, catégorie d'arme ou de munition dont l'acquisition et la détention sont interdites, date de l'interdiction d'acquisition et de détention, date de levée de l'interdiction, fondement juridique de l'interdiction (L. 2336-4 ou L. 2336-5), date d'inscription et service inscripteur.
S'agissant des certificats médicaux
La Commission prend acte des précisions du ministère selon lesquelles, en application de l'article L. 2336-4 du code de la défense, les certificats médicaux sont, le cas échéant, recueillis par les services préfectoraux aux fins de constitution du dossier administratif dans le cadre de l'instruction de la mesure de saisie. La Commission relève que les certificats médicaux ne seront pas enregistrés dans le traitement FINIADA et ne pourront donc faire l'objet d'aucune recherche particulière au moyen de cette application informatique.
S'agissant de l'enregistrement de la nationalité
La Commission observe que le projet de décret prévoit la collecte de la nationalité des personnes.
Elle prend acte des réponses du ministère selon lesquelles la connaissance de cette information se justifie en raison du fait que, dans le cadre de la délivrance d'une carte européenne d'arme à feu, les requérants étrangers résidant en France fournissent des pièces justificatives différentes et que, dès lors, la connaissance de la nationalité est nécessaire aux services préfectoraux pour la constitution et l'instruction du dossier. La Commission prend également acte de ce que le ministère indique que la nationalité sera ajoutée dans le traitement AGRIPPA lors de la modification de ce dernier.
S'agissant de la connaissance par les utilisateurs de FINIADA du motif d'interdiction
L'application permettra à certains utilisateurs d'avoir connaissance du fondement juridique des décisions d'interdiction (soit pour des raisons d'ordre public et de sécurité, soit pour des raisons fondées sur le comportement ou l'état de santé de la personne), sous la forme :  L.2336-4  ou  L. 2336-5 .
La Commission prend acte des précisions du ministère selon lesquelles seuls les agents de préfecture et d'administration centrale, de la police nationale, de la gendarmerie nationale et des douanes auront accès à cette information, à l'exclusion des utilisateurs extérieurs (armuriers, personnels des fédérations et de l'office national de la chasse et de la faune sauvage).
Sur les interconnexions ou mises en relation
La Commission prend acte des précisions apportées par le ministère selon lesquelles les traitements AGRIPPA et FINIADA constituent deux traitements automatisés de données à caractère personnel distincts, l'interrogation de chacun de ces traitements s'opérant toutefois via un portail d'accès commun aux deux applications. La Commission relève qu'il sera impossible à un utilisateur d'accéder aux informations détaillées d'un dossier FINIADA à partir d'AGRIPPA, et vice-versa.
S'agissant des données contenues dans l'application AGRIPPA venant alimenter le traitement FINIADA
La Commission relève que le dossier de formalités indique que le traitement FINIADA procédera à une collecte de données  via [l'application] AGRIPPA complétée à partir des dossiers de demande d'acquisition et de détention d'armes .
Elle prend acte, à cet égard, des précisions du ministère selon lesquelles les seules données d'état-civil (nom d'usage, prénom d'usage, date de naissance et adresse) peuvent faire l'objet d'un versement à partir du traitement AGRIPPA vers le traitement FINIADA, lorsque la personne venant à être inscrite dans FINIADA a par ailleurs déjà fait l'objet d'un enregistrement dans AGRIPPA.
La Commission estime toutefois nécessaire que le projet de décret soit modifié de façon à mentionner clairement dans les textes réglementaires cette possibilité de collecte indirecte de données, ainsi que la liste exacte des données à caractère personnel susceptibles d'être ainsi recueillies depuis le traitement AGRIPPA.  
Sur la durée de conservation des données
La Commission relève que les articles 3, 7 et 11 du projet de décret, prévoient que  les données à caractère personnel relatives à la personne interdite d'acquisition et de détention d'armes peuvent être conservées durant vingt ans à compter de la date de la levée de l'interdiction. 
La Commission estime que cette durée, identique à celle prévue par l'article 4 de l'arrêté  du 15 novembre 2007 portant création du traitement AGRIPPA, est justifiée par le temps nécessaire aux enquêtes en matière criminelle.
S'agissant des destinataires