AgentPublic/cnil huggingface dataset:
Les catégories de données collectées  sont relatives :- à l’identité (nom, prénom, adresse,  date et lieu de naissance) ;- à la vie personnelle (habitudes de vie, situation familiale, mesures tutélaires éventuelle) ;- au numéro de sécurité sociale (aux seules fins de facturation et d’échange avec les organismes de sécurité sociale).Il convient de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, portant sur le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).La Commission considère ces données pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi ou à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l'accomplissement de leurs missions. Il s’agit :
du personnel de l’établissement ;
de la Maison Départementale des Personnes Handicapées (MDPH) ;
 des services de l’assurance maladie dont dépend la structure ;
du Conseil départemental.
Des données statistiques anonymisées sont par ailleurs adressées à L’Agence Régionale de Santé (ARS).
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur le formulaire de collecte de données, sur le site internet ainsi que dans le contrat de séjour et dans le  règlement de fonctionnement de l’établissement.La Commission rappelle que cette information doit être adaptée à l’état des personnes suivies.Les droits d’accès, de rectification et d’opposition pour des motifs légitimes s’exercent auprès de l’IME de Poix de l’ADAPEI de la Somme.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.Les échanges de données effectuées sur internet  sont sécurisés  par des procédés  de chiffrement de transport des données.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Sous réserve des observations précédentes, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 Sur les autres caractéristiques du  traitement
Les données sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier.A l’issue de cette durée de conservation, les données seront détruites.La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’IME de Poix de l’ADAPEI de la Somme à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1826575)
La Commission nationale de l'informatique et des libertés,
Saisie par l’ESAT Picardie Ateliers de l’ADAPEI de la Somme d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et l’administration des demandes d’hébergement temporaire des personnes en situation de handicap ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le Code de l’action sociale et des familles notamment son article L312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-6°;
Vu la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Laurence Dumont, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’ESAT Picardie  Ateliers, situé rue Robert Schuman à Abbeville (80100), est un établissement social et médico-social au sens de   l’article L312-1 du code de l’action sociale et des familles Cet établissement gère l’accueil et l’hébergement des personnes en situation de handicap.Il dépend de l’ADAPEI, association à but non lucratif  régie par la loi de 1901 et affiliée à l’Union Nationale des Associations des Parents de Personnes Handicapées Mentales et de leurs Amis (UNAPEI).
Sur la finalité
Le traitement mis en œuvre a pour finalités la gestion et l’administration des places médico-sociales d’accueil et d’hébergement pour personnes en situation de handicap.Il permet à l’association de faire  connaitre en temps réel, aux aidants familiaux et professionnels la disponibilité des places d’accueil temporaire au sein de son établissement.Le traitement mis en œuvre permet également aux personnes de demander un rendez-vous ou de réserver une place d’accueil par internet.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites.
Sur les données traitées
Les catégories de données collectées  sont relatives :- à l’identité (nom, prénom,  adresse, date et lieu de naissance) ;- à la vie personnelle (habitudes de vie, situation familiale, mesure tutélaire éventuelle) ;- au numéro de sécurité sociale (aux seules fins de facturation et d’échange avec les organismes de sécurité sociale).Il convient de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, portant sur le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).La Commission considère ces données pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi ou à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l'accomplissement de leurs missions. Il s’agit :
du personnel de l’établissement ;
de la Maison Départementale des Personnes Handicapées (MDPH) ;
 des services de l’assurance maladie dont dépend la structure ;
du Conseil départemental.
Des données statistiques anonymisées sont par ailleurs adressées à l’Agence Régionale de Santé (ARS).
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur le formulaire de collecte de données, sur le site internet ainsi que dans le contrat de séjour et dans le  règlement de fonctionnement de l’établissement.La Commission rappelle que l’information doit être adaptée à l’état des personnes suivies.Les droits d’accès, de rectification et d’opposition pour  des motifs légitimes s’exercent auprès de l’ESAT Picardie Ateliers de la Somme.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
Les données sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier.A l’issue de cette durée de conservation, les données seront détruites.La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’ESAT Picardie Ateliers de l’ADAPEI de la Somme à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1860548)
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction Générale du Travail d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers d’établissements par les services de l’inspection du travail ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la convention n° 81 de l’Organisation Internationale du Travail ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 9, 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme  Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement.
Formule les observations suivantes :
La Direction générale du travail (DGT) a saisi la Commission, le 19 mai 2015, d’une demande d’autorisation relative à la mise en œuvre d’un traitement de données à caractère personnel dénommé « WIKI’ T » ayant pour finalité la gestion des dossiers d’établissements par les services de l’inspection du travail. Ce traitement a vocation à remplacer le traitement dénommé « CAP SITERE » dont la mise en œuvre a été autorisée par délibération n° 2015-166 du 4 juin 2015.
La Commission relève qu’en application des dispositions du code du travail, l’inspection du travail contrôle l’application du droit du travail dans tous ses aspects : santé et sécurité, fonctionnement des institutions représentatives du personnel, durée du travail, contrat de travail et travail illégal. 
Concurremment avec les officiers de police judiciaire, les inspecteurs du travail constatent les infractions aux dispositions légales relatives au code du travail ou au régime du travail ainsi qu’aux stipulations des conventions et accords collectifs de travail et ils constatent également  les infractions mentionnées à l’article L.8112-2 du code du travail.
Enfin, dans certaines situations prévues par le code du travail, l’inspection du travail possède un pouvoir de décision. Tel est le cas, par exemple, en ce qui concerne la décision d’autorisation ou de refus d’autorisation du licenciement des représentants du personnel (délégué du personnel, membre du comité d’entreprise, délégué syndical), des conseillers prud’hommes, des médecins du travail.
Au regard des missions de l’inspection du travail et de la nature des données collectées ou susceptibles de l’être, ce traitement relève notamment des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements justifiés par l’intérêt public faisant apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci.
Il convient également de faire application de l’article 25-I-3° de la loi qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations et mesures de sûreté.
Sur la finalité du traitement :
Le traitement WIKI’ T est une base de données nationale visant à centraliser les dossiers d’établissements comprenant les données relatives aux entreprises, aux chantiers, aux navires et aux prestations de services.
Cette application permet de préparer et de saisir les contrôles réalisés, de suivre les procédures judiciaires, de mutualiser des pratiques professionnelles et de gérer des agendas partagés.
En outre, les données issues de WIKI’ T  permettent à la DGT d’assurer ses missions d’évaluation et de pilotage du système d’inspection du travail à travers le recueil de l’activité collective des agents et le compte-rendu des actions réalisées devant le parlement au titre du budget opérationnel de programme : « amélioration de la qualité de l’emploi et des relations du travail ».
En effet, par application de l’article R. 8121-14 du code du travail, la Direction générale du travail « détermine les orientations de la politique du travail, coordonne et évalue les actions, notamment en matière de contrôle de l'application du droit du travail ». 
En outre, la DGT doit rendre compte de son activité de manière annuelle par la rédaction d’un rapport remis au Bureau international du travail (BIT). Ce rapport doit notamment comporter « les statistiques des infractions commises et des sanctions imposées ».
La Commission relève que le suivi de l’activité sera fait sous forme de statistiques agrégées ne permettant pas d’identifier les personnes et prend acte du fait que le présent traitement n’a pas pour finalité le contrôle individuel des agents.
Par ailleurs, WIKI’ T intègre une application déjà existante visant à gérer les recours hiérarchiques et contentieux contre les décisions des services de l’inspection du travail (recours contre un refus d’autorisation de licenciement de salariés protégés, contre une décision de dérogation aux durées du travail, contestation d’un avis d’(in)aptitude d’un salarié).
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur la nature des données traitées :
Les données collectées dans le cadre du traitement WIKI’ T sont relatives : 
à la dénomination des entreprises (SIREN/SIRET, raison sociale, adresse, service ou atelier) ; 
à l’identité des contacts dans l’entreprise (nom, prénom, fonction, téléphone, portable, fax, adresse courriel) ;
à l’identification des salariés concernés par certaines procédures :
aux victimes d’accidents du travail (nom, prénom, sexe, catégorie socioprofessionnelle, adresse, nationalité, date de naissance, type d’accident, arrêt de travail, conséquence de l’accident, nature des lésions, siège des lésions et nature du contrat) ;
aux représentants du personnel élus ou désignés (nom, prénom, sexe, catégorie socioprofessionnelle, syndicat et mandat) ;
aux salariés protégés de par l’exercice d’un mandat représentatif faisant l’objet d’une demande d’autorisation de licenciement (nom, prénom, sexe, adresse, motif de la demande, existence ou non d’une mise à pied, catégorie socioprofessionnelle, syndicat et mandat) ;
à la situation professionnelle des salariés ;
aux salariés directement concernés et cités dans une décision individuelle (nom, prénom et adresse) ;
aux salariés concernés par un recours à l’encontre d’une décision de l’inspecteur du travail (nom, prénom et adresse) ;
aux données de santé dont les pathologies et les affections, données transmises par  la caisse nationale d’assurance maladie ;
à l’appartenance syndicale ;
à l’identité des personnes habilitées accompagnant l’agent de contrôle lors d’une intervention (nom, prénom, service) ;
à l’identité de la personne mise en cause dans un procès verbal d’infraction et aux infractions et condamnations correspondantes ;
à l’identité des agents (nom, prénom, service, adresse du service, numéro de section, fonction, téléphone, télécopie, adresse courriel) ;
au compte rendu d’activité de l’agent de contrôle (nombre d’interventions et type d’intervention par thème, par programme et par campagne, nombre de suites à intervention et types de suites à intervention, réunions et information du public) ;
aux activités hors section (absence, congés formation) ;
aux relations avec l’usager (permanence et nombre de visiteurs reçus) ;
aux données de connexion des agents.
La Commission relève que les données de connexion des agents sont utilisées afin de retracer l’historique de dysfonctionnements informatiques et n’ont pas pour objet de contrôler l’activité des agents.
Elle prend acte du fait que l’exercice des missions légales de l’inspection du travail nécessite le recueil de données liées à l’état de santé, à l’appartenance syndicale des salariés, aux infractions à la législation du travail et aux condamnations des personnes mises en cause en vue de la constitution de dossiers d’établissement contenus au sein de l’application de WIKI’ T.
Elle relève également que seuls les médecins-inspecteurs du travail ont accès aux données concernant la santé des salariés.
Cependant, les inspecteurs du travail sont amenés à prendre connaissance des données liées aux conséquences de l’état de santé des salariés sur leurs conditions de travail, notamment sur le fondement des avis d’inaptitude rédigés par les médecins du travail.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires ou les catégories de destinataires de ces informations sont, dans la limite de leurs attributions et dans la mesure où ils sont concernés, les services de l’inspection du travail, les sections centrales « travail », les directeurs départementaux et leurs adjoints, les directeurs régionaux et leurs adjoints ainsi que les personnes dûment habilitées en administration centrale.
La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données.
Sur la durée de conservation des données :
Les durées de conservation prévues pour le présent traitement sont les suivantes : 
pour les données d’identification des salariés : cinq ans en l’absence de procédure pénale, dix ans en cas de procès verbal d’infraction dressé par l’inspecteur du travail ;
pour les données liées à la situation professionnelle des salariés : cinq ans en l’absence de procédure pénale, dix ans en cas de procès verbal d’infraction dressé par l’inspecteur du travail ;
pour les données liées aux accidents du travail : cinq ans en l’absence de procès verbal d’infraction,  dix ans en cas de procès verbal d’infraction dressé par l’inspecteur du travail ;
pour les données liées aux maladies professionnelles : cinq ans en l’absence de procès verbal d’infraction, trente ans en cas de procédure pénale ou administrative contentieuse ;
cinq ans pour les données liées à l’appartenance syndicale ;
la durée de service de l’agent pour le compte rendu mensuel d’activité ;
une année pour les données de connexion.
La Commission considère au vu des justifications apportées par la DGT que ces durées de conservation n’excèdent pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées.
Sur l'information des personnes :
Les personnes concernées par le présent traitement sont informées du traitement, conformément à l’article 32 de la loi du 6 janvier modifiée.
La DGT s’engage à publier des mentions relatives au droit d’accès, de rectification et d’opposition pour motifs légitimes sur le portail internet de chaque Direction régionale des entreprises de la consommation de la concurrence, du travail et de l'emploi (DIRECCTE).
Une mention d’information sera également apposée sur les convocations adressées aux salariés ou employeurs concernés.
Les droits d’accès, de rectification et d’opposition pour motifs légitimes s’exercent auprès du service d’inspection dont relève l’établissement concerné.
S’agissant des agents de la DGT et des DIRECCTE, ils sont informés du traitement à l’occasion de leur formation à l’utilisation de WIKI’ T et au sein de la charte d’utilisation de l’application.
Ils peuvent exercer leurs droits d’accès, de rectification et d’opposition pour motifs légitimes auprès de l’administrateur local du Ministère du travail.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
La Commission observe que le contrôle d’accès logique à l’application WIKI’ T est effectué au moyen d’un compte utilisateur et par mot de passe (huit caractères minimum dont un caractère spécial et un chiffre).
Concernant l’authentification/identification des personnes habilitées à l’accès au traitement, la Commission rappelle qu’elle recommande des mots de passe de huit caractères minimum avec des caractères de types différents (majuscules, minuscules, chiffres, caractères spéciaux) et un renouvellement régulier tel que par exemple tous les six mois. 
Concernant l’authentification/identification des administrateurs, la Commission recommande des mots de passe de dix caractères minimum.
Les logiciels ou équipements informatiques font l’objet d’une télémaintenance (connexion distante sécurisée par VPN-IPSEC). La maintenance des matériels par un sous-traitant est faite en présence d’un informaticien de l’organisme.
La Commission prend acte du fait qu’une journalisation des accès à l’application est effectuée (horodatage de connexion, identifiants de l’utilisateur et du poste de travail) et que les journaux d’accès sont conservés durant une année glissante.
Sous réserve des observations de la Commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la Commission autorise la Direction Générale du Travail à mettre en œuvre le traitement de données à caractère personnel dénommé « WIKI’ T » ayant pour finalité la gestion des dossiers d’établissements par les services de l’inspection du travail.
La Présidente
I. FALQUE-PIERROTIN