AgentPublic/cnil huggingface dataset:
La finalité du traitement de données à caractère personnel est la gestion et le suivi des procédures internes, du précontentieux et du contentieux pouvant survenir entre la société ESCO et ses salariés, ses clients, ses fournisseurs ou toute autre personne sur le territoire français.A cette fin, des investigations peuvent être menées par la société en cas de détection d’actes pouvant recevoir une qualification pénale (vol, détournement d’actifs, rapports financiers frauduleux, fausses déclarations, etc.).Le traitement consiste ainsi à mener des enquêtes et des contrôles en vue de confirmer la qualification de ces agissements et dans le but de déposer une plainte, ou de s’en réserver la possibilité. S’agissant des salariés de la société, ces investigations peuvent également déboucher sur des mesures disciplinaires, et notamment la rupture du contrat de travail.Dans le cadre des investigations diligentées par la société, les personnes suspectées d’avoir commis des actes pouvant recevoir une qualification pénale sont mises en mesure de présenter leurs observations. Les témoins et donneurs d’alerte sont également entendus.Ce traitement résulte d’une politique mondiale de la société ESCO de gestion et du suivi des procédures internes, du précontentieux et du contentieux. La société ESCO SAS, située en France, est une structure de moins de dix employés, qui ne dispose pas de services impliqués dans la mise en œuvre du traitement (services d’audit, services juridiques, etc.). Les
services chargés de la mise en œuvre du traitement sont situés au sein de la société ESCO CORPORATION, responsable du traitement. L’assistance d’ESCO EUROPE DISTRIBUTION SA, située en Belgique, est également requise dans le cadre des enquêtes dans la mesure où les services ressources humaines et informatique couvrant les salariés français sont situés au sein de cette entité.La Commission considère que la finalité du traitement est déterminée, explicite et légitime au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée.Par ailleurs, l’article 9 de la loi du 6 janvier 1978 modifiée prévoit que le traitement de données relatives aux infractions, condamnations et mesures de sûreté ne peut être mis en œuvre que par :« 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;2° Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi ;3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;]4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ».Dans sa décision du 29 juillet 2004, le Conseil
Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° de la loi du 6 janvier 1978 modifiée qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement.Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ».Ainsi, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
Sur les données traitées
Les données collectées sont relatives :-   à l’identification des personnes concernées : nom, prénom, adresse, photographie, date et lieu de naissance, numéro de téléphone ;- à la vie professionnelle : curriculum vitae, situation professionnelle, scolarité, formation, distinction ;-  aux informations d’ordre économique et financier : revenus, situation financière ;-  aux infractions, condamnations et mesures de sûreté ;-  aux signalements effectués, aux faits détectés, aux éléments recueillis dans le cadre de la vérification des faits, aux comptes-rendus des opérations de vérification et aux suites données.Les données collectées et traitées figurent dans un traitement informatisé. Afin d’assurer la traçabilité des accès, la société ESCO collectera les données de connexion suivantes : identifiants des terminaux, identifiants de connexion et information d’horodatage.La Commission considère que les données traitées sont pertinentes, adéquates et non excessives au regard des finalités poursuivies.
Sur les destinataires
A titre liminaire, il est rappelé que le traitement est mis en œuvre par la maison mère du groupe ESCO, située aux Etats-Unis. Les données sont transférées vers les services compétents de la société, les transferts étant encadrés par les clauses contractuelles européennes issues de la décision 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement. La société ESCO EUROPE DISTRIBUTION SA est également destinataire des données, en sa qualité de sous-traitant.Dans la limite de leurs attributions respectives, et dans la mesure où ces données sont nécessaires à l'accomplissement de leurs missions, seuls peuvent être habilités à accéder à tout ou partie des données, les agents du groupe ESCO appartenant :-  au service de l’audit interne ;-  au service juridique ;-  au département de la conformité ;-  au département des ressources humaines ;-  au service comptabilité ;-  au comité d’audit du Conseil d’administration.Les personnes habilitées des prestataires de service (conseils extérieurs, sociétés d’audits, agences d’évaluation de crédit, agences de recouvrement,) peuvent être destinataires des données nécessaires à l’accomplissement de leurs missions. Par ailleurs, dans le cadre des enquêtes menées, des institutions financières peuvent être sollicitées.En outre, lorsque les circonstances le justifient, les autorités compétentes peuvent être destinataires des données.Ces destinataires, dans la
limite de leurs attributions respectives, n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées, préalablement à la mise en œuvre du traitement, par une mention d’information figurant dans les documents contractuels. Une information complémentaire à l’attention des salariés est mise en place via l’intranet de la société. Dans le cadre des investigations diligentées par la société, les personnes concernées sont mises en mesure de présenter leurs observations.La Commission considère que ces modalités d’information sont satisfaisantes au regard de l’article 32 de la loi du 6 janvier 1978 modifiée. Les personnes concernées peuvent exercer leurs droits d’accès et de rectification, dans les conditions légales, auprès de la société ESCO EUROPE DISTRIBUTION SA, rue des Fours à Chaux, Parc Industriel, 7080 Frameries, Belgique.Ces modalités d’exercice des droits des personnes n’appellent pas d’observation de la part de la Commission.
Sur les mesures de sécurité
Au titre des mesures de sécurité, la Commission observe que des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.Les postes de travail disposent d'un pare-feu logiciel et d'un logiciel antivirus mis à jour régulièrement.Des sauvegardes régulières sont réalisées, ces sauvegardes sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.Les interventions de maintenance font l'objet d'une traçabilité.L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.Une journalisation des opérations de consultation, création et modification du traitement est réalisée.Les communications intervenant sur le réseau informatique interne sont filtrées.Les accès distants sont sécurisés afin de garantir la confidentialité et l’intégrité des données.Les mots de passe ne sont pas conservés en clair et font l’objet d’un hachage avec clé. La Commission prend note qu’une procédure de révision est actuellement en cours au sein de la société et rappelle que les mesures de sécurité doivent correspondre à l’état de l’art, notamment en matière de mot de passe (longueur minimale de 8 caractères, comportant au moins un chiffre, une minuscule et un caractère spécial).
Sur les autres caractéristiques du traitement
S’agissant de la durée de conservation des données à caractère personnel, lorsque les investigations ne sont pas suivies d’une procédure disciplinaire ou judiciaire, les données relatives à l’enquête sont supprimées dans un délai de deux mois maximum à compter de la clôture de l’enquête.Lorsqu’une procédure disciplinaire ou une procédure judiciaire est engagée à l’encontre de la personne ou de la société mise en cause, les données relatives à l’enquête sont conservées par le département juridique de la société ESCO jusqu’au terme de la procédure.La Commission estime que les durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société ESCO à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine 15023933) 
La Commission nationale de l'informatique et des libertés,
Saisie par le département des Alpes-maritimes, le 25 août 2015, d’une demande de délivrance de label concernant sa formation intitulée « Sensibilisation à la loi Informatique et Libertés et au risque numérique » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
Carte de visite de la CNIL
Un peu d’histoire 
Création de la loi I and L 
La loi I and L 
Le statut de la CNIL et sa composition 
Les missions de la CNIL 
La commission plénière 
La formation restreinte 
Les fondamentaux Informatique et Libertés
Un peu d’histoire 
La Loi et ses éléments de langage 
Les concepts de la loi 
Les grands principes de la loi 
Questions/réponses 
QCM 
Les formalités préalables
Les différents types de déclaration 
Dispense de déclaration 
Déclaration normale 
Déclaration simplifiée 
Demande d’avis 
Demandes d’autorisation 
Cas prévus à l’article 25 de la loi 
Modalités d’instruction des avis et des autorisations 
Le CIL 
Questions/réponses 
QCM 
La demande de label présentée par le département des Alpes-Maritimes inclut les modules complémentaires suivants : 
la présentation de la CNIL et de ses missions ;
la présentation des formalités préalables à la mise en œuvre des traitements ;
la présentation du rôle du correspondant à la protection des données à caractère personnel ;
la présentation du pouvoir de contrôle a posteriori de la CNIL ;
la présentation du pouvoir de sanction de la CNIL ;
la présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide :
De la délivrance du label CNIL « formation » pour la formation intitulée  « Sensibilisation à la loi Informatique et Libertés et au risque numérique » du département des Alpes-maritimes.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n° 15021258) 
La Commission nationale de l’informatique et des libertés, 
Saisie par la société SAFRAN, le 2 juillet 2015, d’une demande de délivrance de label concernant sa formation intitulée «  Protection des données personnelles en France » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
- La loi Informatique et Libertés 
Textes fondateurs 
La loi Informatique et Libertés
Information des personnes
Cas pratique général
-  La CNIL 
La CNIL et ses missions
La CNIL et ses pouvoirs
Les dispositions pénales en cas de non respect de la loi I and L
- Les formalités préalables 
Introduction
La dispense de déclaration
La déclaration simplifiée
La déclaration normale
Les formalités particulières
Demande d’autorisation
Demande d’avis
- Encadrement des transferts de données personnelles 
Les transferts de données personnelles
Formalités préalables à réaliser
Cas concrets
- Le CIL
Statut du CIL
Missions et activités
Modalités de désignation d’un CIL auprès de la CNIL.
La demande de label présentée par la société SAFRAN inclut les modules complémentaires suivants : 
la présentation de la CNIL et de ses missions ;
la présentation des formalités préalables à la mise en œuvre des traitements ;
la présentation de l’encadrement des transferts de données hors de l’Union européenne ;
la présentation du rôle du correspondant à la protection des données à caractère personnel ;
la présentation du pouvoir de contrôle a posteriori de la CNIL ;
la présentation du pouvoir de sanction de la CNIL ;
la présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « formation » pour la formation intitulée « Protection des données personnelles en France » de la société SAFRAN. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
Isabelle FALQUE-PIERROTIN
Délibération n° 2015-437 du 17 décembre 2015 portant labellisation de la formation intitulée « Appliquer la Loi Informatique et  Libertés » présentée par le Cabinet ANAXIL.
(Saisine n° 15025257) 
La Commission nationale de l’informatique et des libertés, 
Saisie par le Cabinet ANAXIL, le 10 septembre 2015, d’une demande de délivrance de label concernant sa formation intitulée « Appliquer la loi Informatique et Libertés »;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Francois CARREZ, commissaire, président du Comité de labellisation et après avoir entendu les observations de   M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
- Définitions et champs d’application ;
- Grands principes ;
- Droits des personnes ;
- Sécurité et confidentialité ;
- La CNIL et ses missions ;
- Formalités préalables ;
- Transferts des données hors UE ;
- Traitements dans le domaine de la santé ;
- Contrôles CNIL et sanctions ;
- Sanctions pénales.
La demande de label présentée par le Cabinet ANAXIL inclut les modules complémentaires suivants : 
présentation de la CNIL et de ses missions ;
présentation des formalités préalables à la mise en œuvre des traitements ;
présentation de l’encadrement des transferts de données hors de l’Union européenne ;
présentation de l’encadrement des traitements dans le domaine de la santé ;
présentation du pouvoir de contrôle a posteriori de la CNIL ;
présentation du pouvoir de sanction de la CNIL ;
présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « formation » pour la formation intitulée « Appliquer la Loi Informatique et Libertés » du Cabinet ANAXIL. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n° 15025264) 
La Commission nationale de l’informatique et des libertés, 
Saisie par le Cabinet ANAXIL, le 10 septembre 2015, d’une demande de délivrance de label concernant sa formation intitulée « Appliquer la Loi Informatique et Libertés dans le Logement Social » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, président du Comité de labellisation et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
Définitions et champs d’application ;
Grands principes ;
Droits des personnes ;
Sécurités et confidentialité ;
La CNIL et ses missions ;
Formalités préalables ;
Transferts des données hors UE ;
Contrôles CNIL et sanctions ;
Sanctions pénales ;
Logement Social.
La demande de label présentée par le Cabinet ANAXIL inclut les modules complémentaires suivants : 
présentation de la CNIL et de ses missions ;
présentation des formalités préalables à la mise en œuvre des traitements ;
présentation de l’encadrement des transferts de données hors de l’Union européenne ;
présentation du pouvoir de contrôle a posteriori de la CNIL ;
présentation du pouvoir de sanction de la CNIL ;
présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide