AgentPublic/cnil huggingface dataset:
diversité » a été créé par le décret n° 2008-1344 du 17 décembre 2008 et s’inscrit dans la politique gouvernementale de prévention des discriminations et de promotion de la diversité. Le ministère de l’intérieur, qui a repris les attributions de l’ancien ministère de l’immigration et de l’intégration, est désormais responsable de sa mise en œuvre en collaboration avec l’AFNOR Certification. Ce label a pour objectifs d’une part, de promouvoir la diversité et la prévention des discriminations et d’autre part, de valoriser les meilleures pratiques en matière de recrutement et d’évolution professionnelle au sein des organismes. Le cahier des charges de l’AFNOR préconise notamment la mise en place d’outils permettant d’« identifier les plaintes et réclamations internes ou externes » et, de manière générale, d’assurer la traçabilité des signalements.La Commission relève que le dispositif présenté s’inscrit dans le cadre des textes internationaux, européens et nationaux afférents à la prévention des discriminations, à l’égalité des chances et à la promotion de la diversité dans le domaine de la gestion des ressources humaines.Elle constate que les faits susceptibles d’être recueillis dans le cadre de ce dispositif sont strictement limités aux alertes relatives à la discrimination et aux « harcèlements discriminatoires ». S’agissant des modalités de signalement, la Commission prend acte que le dispositif d’alerte dédié aux discriminations est ouvert aux agents du ministère des
affaires sociales, de la santé et des droits des femmes, du ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et du ministère de la ville, de la jeunesse et des sports. Il est également ouvert aux candidats aux concours et examens, dont la procédure a pris fin depuis trois mois au plus, ainsi qu’aux agents en démission ou retraite depuis six mois au plus.  Seules les personnes mentionnées ci-dessus sont susceptibles de signaler des faits de discriminations dont elles pensent être victimes ou dont elles sont témoins.Elles peuvent saisir la cellule d’écoute et de signalement via une ligne téléphonique dédiée, par courrier et portail web sécurisé. Toutes les alertes sont réceptionnées et traitées par un prestataire extérieur auquel est confié le fonctionnement de la cellule d’écoute. La première prise de contact téléphonique doit être complétée par un échange écrit  pour recueillir l’accord de la victime avant la saisine de son employeur.La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ d’application, est facultatif et répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sont collectées ou susceptibles d’être collectées, les informations relatives à l’identité de la victime, à ses date et lieu de naissance, à sa situation professionnelle, à l’emploi occupé, à son adresse électronique personnelle, aux données de santé et de soins, aux origines raciales et ethniques, aux opinions politiques, philosophiques et religieuses, à l’appartenance syndicale et à la vie sexuelle.L’ensemble de ces informations n’a pas vocation à être systématiquement recueilli. Si la collecte des informations « sensibles » au sens de l’article 8 de la loi du 6 janvier 1978 modifiée est nécessaire, l’administration s’est néanmoins engagée à demander à son prestataire d’avoir recours à une grille listant les critères de discrimination prohibés par loi, sous la forme de cases à cocher. Ce n’est que lorsque le contexte de la discrimination doit être explicité que cette grille sera complétée par des informations factuelles et strictement nécessaires à l’instruction du signalement.L’article 8-II-1° de la loi prévoit que, lorsque la finalité du traitement l’exige, les données sensibles peuvent être collectées et traitées après recueil du consentement exprès de la personne concernée.La Commission relève que la victime doit systématiquement donner son accord au traitement de ses données avant la communication du signalement à son employeur. Le recueil du consentement se fait par écrit et doit toujours être explicite.Les informations recueillies seront complétées par  une
description objective des faits signalés par la victime, les éléments recueillis dans le cadre de la vérification de ces faits,  le compte rendu des opérations de vérification et les suites données à l’alerte.Sur le traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées. En l’espèce, le dispositif soumis par les ministères n’est pas conçu pour permettre des signalements anonymes. L’émetteur d’un signalement doit nécessairement s’identifier. Son identité est par la suite traitée de façon confidentielle par les personneschargées du recueil des alertes. La Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires ainsi qu’à des poursuites judiciaires. Enfin, au regard de la sensibilité des données collectées, la Commission rappelle l’obligation renforcée de confidentialité à laquelle sont soumises les personnes chargées du recueil et du traitement des données.Compte tenu de ce qui précède, elle estime que le traitement envisagé est conforme à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel sont, dans la limite de leurs attributions, les personnes en charge du traitement des plaintes chez le prestataire ainsi que l’entité employeur de la victime, à savoir le responsable d’une direction en capacité de mettre fin à une situation de discrimination. Les ministères transmettent au prestataire les éléments nécessaires lui permettant d’identifier le responsable en fonction de la nature de la discrimination et des faits portés à sa connaissance.La Commission relève que ces personnes sont toutes astreintes à une obligation de confidentialité.La liste des destinataires n'appelle pas d'observation particulière de la Commission. 
Sur l’information et le droit d’accès
L’information générale est assurée par les ministères des affaires sociales au moyen d’une instruction aux chefs de service, d’un courriel complété par un formulaire « questions-réponses » adressé à l’ensemble des agents lors de l’ouverture de la cellule, et d’une carte de visite, remise à chaque agent, comportant  les coordonnées de la cellule d’écoute. Une lettre d’information sera également adressée aux agents au moment de leur départ à la retraite ainsi qu’aux agents en démission. Cette information figurera également dans le courriel adressé par la cellule aux plaignants. La personne éventuellement mise en cause est informée dès l'enregistrement des données la concernant.Si le donneur d’alerte utilise le dispositif en qualité de témoin, il devra en informer préalablement la personne victime de discrimination et recueillir son accord à la poursuite de l’instruction du signalement et à la saisine de son employeur. La Commission prend acte que le projet a été présenté en comités techniques ministériels et en CHSCT. Les organisations syndicales ont également été informées et consultées.Les droits d’accès et de rectification s’exercent directement auprès du responsable de la cellule d’écoute et de traitement des alertes par mail ou par courrier adressé à la Cellule d’écoute des ministères des affaires sociales (CEMCAS).
Sur les mesures de sécurité
La Commission indique que des mesures doivent être prises par le responsable de traitement afin de garantir la sécurité et la confidentialité des données, et, notamment, empêcher que des tiers non autorisés y aient accès.Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.La Commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge. La Commission rappelle également, qu’en cas de recours aux services d’un prestataire, ce dernier ne peut agir que sur instruction du responsable de traitement, lequel n’est pas dispensé de son obligation de veiller au respect des mesures de sécurité qui lui sont imposées par l’article 34 de la loi du 6 janvier 1978 modifiée. Le prestataire doit par ailleurs présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité, et le contrat établi entre les parties doit comporter l’indication des obligations incombant au prestataire en matière de sécurité des données à caractère personnel.  La Commission rappelle enfin que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de
sécurité au regard de la réévaluation régulière des risques.  Sous cette réserve, les mesures de sécurité envisagées n’appellent pas d’observations particulières.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n°004, à savoir :
Les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites immédiatement ;
Lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
Lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives au signalement sont conservées pendant un délai qui n’excédera pas le délai de prescription applicable ;
Les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicables.
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Abroge la délibération n° 2013-093 du 11 avril 2013 et autorise, conformément à la présente délibération, le ministère des affaires sociales, de la santé et des femmes, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère de la ville, de la jeunesse et des sports,  à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1890021)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse d’Epargne Provence-Alpes-Corse d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre la fraude à l’identité ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier, notamment ses articles L. 561-5 et R. 561-5;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse d’Epargne Provence-Alpes-Corse, ci-dessous dénommée CEPAC.
Sur la finalité
La finalité du traitement est de lutter contre la fraude à l’identité. Il vise à détecter les documents présentant des anomalies susceptibles de révéler une fraude (faux document ou document falsifié) dans deux hypothèses : soit au moment de l’entrée en relation du client avec la banque, soit de manière plus occasionnelle au cours de la relation d’affaire en cas de découverte ultérieure d’une fraude du client (escroquerie).La Commission estime que cette finalité est déterminée, explicite et légitime.Lorsque l’analyse automatique de l’outil conclut à la non-conformité du document (résultat négatif), le conseiller clientèle réalise une vérification de premier niveau des données saisies par un contrôle de cohérence des données entre la version de la pièce d’identité et le code de contrôle de la ligne MRZ. Si, après ce premier contrôle, les services de conformité confirment le  résultat négatif, alors l’entrée en relation est refusée. Par ailleurs, si le contrôle a lieu après l’entrée en relation, et qu’il conclut à un résultat négatif de non-conformité du document, alors la fin de la relation commerciale peut être envisagée sur décision collégiale des directions Risques, Juridique et contentieux, et Conformité. Enfin et dans la situation inverse, si l’authenticité des documents est confirmée, il est fait droit à la demande du client.Ce traitement peut ainsi, du fait de sa portée et de sa finalité exclure une personne du bénéfice d’un droit ou d’un contrat en l’absence de toute
disposition législative ou réglementaire prévoyant une telle exclusion. Le présent traitement est dès lors soumis à autorisation de la Commission, en application des dispositions du 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données traitées sont relatives :- à l’identité des clients concernés : le nom, le(s) prénom(s), le sexe, la date et le lieu de naissance, l’adresse, la photographie ;- aux documents d’identité : le numéro de document, le type de document (cartes nationales d’identité Française et européennes, passeports, titres de séjour français et Visa Schengen), la date de validité,  les caractères de la bande MRZ de la pièce d’identité et du  passeport.La Commission considère que ces données sont adéquates, pertinentes et non excessives au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les personnes habilitées à accéder au traitement sont, dans la limite de leurs attributions :-  le réseau commercial (agences et centres d’affaires) ;- le service sécurité financière qui appartient à la direction conformité et des contrôles permanents ;-  la direction juridique et contentieux.Les collaborateurs des services commerciaux et recevant les personnes souhaitant entrer en relation avec la banque ainsi que les personnes habilitées par la direction conformité, ont accès au fichier des clients. La  liste de ces destinataires n'appelle pas d'observation particulière.
Sur l’information et le droit d’accès
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients de la banque sont informés de l’existence de ce traitement ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition par voie d’affichage dans l’agence bancaire.La mention d’information qui y figure rappelle notamment que les droits d’accès et de rectification s’exercent auprès du Service Relation Clientèle de la Caisse d’Epargne Provence-Alpes-Corse : Place Estrangin Pastre 13006 - MARSEILLE Cedex 06, ou par courrier électronique à l’adresse suivante : service.conso@cepac.caisseepargne.frLa Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Les données collectées pour effectuer les contrôles ne sont utilisées que le temps de la vérification de l’authenticité des documents. Le résultat du contrôle identitaire est conservé dans le dossier client le temps de la durée de la relation d’affaire conformément aux règles et usages en matière bancaire. L’analyse de l’authenticité des pièces se fait en temps réel par l’outil, ce qui permet au commercial d’accepter ou de refuser l’ouverture du compte en fonction du résultat du contrôle. L’outil de contrôle réalise un premier contrôle de cohérence de la ligne MRZ des données figurant sur les documents officiels d’identité présentés. L’outil reconstitue la ligne MRZ et vérifie les clés de sécurité incluses. Le résultat du contrôle est archivé avec la numérisation du document original d’identité.En cas de détection d’une anomalie et en fonction de la typologie de l’anomalie, un contrôle pourra être réalisé soit par des gestionnaires de la Direction Juridique et contentieux, soit par les agents de la sécurité financière à partir des pièces conservées dans le dossier client. Ce contrôle se fait principalement par la saisie dans l’outil des données présentes sur la pièce d’identité. Les agents de sécurité financière réalisent un contrôle manuel de l’ensemble des zones saisies pour vérifier qu’il ne s’agit pas d’une erreur de saisie. Si la ligne MRZ est considérée comme non valide, le résultat est transmis à la direction Conformité qui décidera des mesures à mettre en œuvre
(refus d’entrée en relation pour les nouveaux clients). Toutefois, il est également possible de traiter une copie numérisée de la pièce d’identité. Dans ce cas, il y aura une reconnaissance optique des caractères. Le traitement mis en œuvre n’est donc qu’un outil d’aide à l’analyse des documents d’identité présentés par le client lors de l’entrée en relation avec la banque.La Commission prend acte qu’en cas de détection d’anomalie, une analyse complémentaire sera effectuée par les personnels habilités par la direction conformité afin, le cas échéant, de confirmer la tentative de fraude. Conformément aux dispositions de l’article 10 alinéa 2 de la loi du 6 janvier 1978 modifiée, aucune décision automatisée n’est donc prise à l’égard des personnes concernées sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.Ce traitement ne permet pas d’établir une « liste noire » de personnes ayant présenté des titres d’identité comportant des anomalies ou des titres d’identité falsifiés ou volés. Toutefois, les anomalies seront recensées dans un fichier pour être traitées par les services en charge de la sécurité financière ; elles ne sont conservées que le temps nécessaire au traitement.Il existe un suivi statistique sur les résultats des contrôles portant sur le nombre de contrôle par entités et / ou le classement par typologie d’anomalies.  Aucun fichier nominatif ne sera constitué à
Autorise, conformément à la présente délibération, la Caisse d’Epargne Provence-Alpes-Corse à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1795972 v0)
La Commission nationale de l'informatique et des libertés,
Saisie l’association Réseau d’éducation nutritionnelle infantile de La Réunion (REUNIR) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité un programme d’éducation thérapeutique pour les familles d’enfants et d’adolescents atteints d’obésité à La Réunion,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1161-1 à L. 1161-4 et D. 1161-1 à D. 1161-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation ;
Vu la convention n°115/2015 du 30 juin 2015 entre l’Agence régionale de santé Océan Indien et l’association REUNIR ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’association Réseau d’éducation nutritionnelle infantile de La Réunion (REUNIR) est une association loi 1901 ayant pour objectif de gérer les centres d’éducation thérapeutique pédiatrique de proximité proposant un programme d’éducation pluridisciplinaire aux familles d’enfants et adolescents en surpoids ou obèses et/ou porteurs d’un diabète.
Sur la finalité
Ce programme d’éducation thérapeutique, intitulé « alliance éducative thérapeutique avec les familles d’enfants et d’adolescents atteints d’obésité à La Réunion » a pour objectif d’aider les enfants, adolescents et leur entourage à améliorer leur qualité de vie par l’efficacité du suivi et l’efficience de leur prise en charge éducative, conformément aux dispositions des articles L. 1161-2 à L. 1161-4 et D. 1161-2 du code de la santé publique. Sont également applicables les dispositions de l’arrêté du 2 août 2010 relatif au cahier des charges des programmes d’éducation thérapeutique du patient et à la composition du dossier de demande de leur autorisation. A ce titre, la Commission observe que l’Agence régionale de santé Océan Indien a délivré son autorisation pour la mise en œuvre du « programme d’éducation thérapeutique intitulé «alliance éducative thérapeutique avec les familles d’enfants et d’adolescents atteints d’obésité à La Réunion ».La Commission considère que la finalité du traitement est déterminée, explicite et légitime, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé justifiés, comme en l’espèce, par l’intérêt public. 
Sur les données traitées
Les données faisant l’objet d’un traitement sont celles relatives aux patients qui s’inscrivent au programme. Elles portent sur leur identité (nom, prénom), leur date de naissance, leurs coordonnées (adresse), leur vie professionnelle ainsi que sur des informations relatives à leur santé (pathologie, antécédents et traitements médicaux).Les données relatives aux médecins et aux professionnels de santé appelés à dispenser l’éducation thérapeutique feront également l’objet d’un traitement (identité, qualité professionnelle, adresse professionnelle). La Commission estime que les données sont pertinentes au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données, en fonction des habilitations qui leur sont délivrées, sont les personnes en charge des patients dans le cadre de leur adhésion au programme.Ces destinataires n’appellent pas d’observation de la Commission.
Sur l’information et le droit d’accès