AgentPublic/cnil huggingface dataset:
S'agissant des élèves, elle a pu constater la présence des mentions suivantes : trop de prfos ont déjà défilé chez sa saloperie de gamin , eleve retourné en prison !! , ne pas parlé de cela mais a savoir qu il s est fait virer de St Genès pr traffic de drogue et comme n a pas 18 ans a echappé a la prison , [...] a fait de la prison , [...] est mis en examen (je ne sais pas pourquoi , [...] commet des actes de violence , a fait des vols, drogue , a priori [...] a eu de gros pb, ils sont suivi par un juge car a fait des vols et autre... , pbs de comportement au ly Vauban, Aire (vols de sacs et argent avec un camarade, destruction de toilettes...) , sort de chimio, cancer du poumon diagnostiqué en avril dernier , en grave dépression (viol) suite à une agression , va aller passer en février test neurologique a marseille (car enfant adopte ! sa mere lui ayant fait boire de l'alcool etant bebe !) , s'est faite violée à paques par son cousin! vraiment le sort s'acharne car avait déjà subi des attouchements il y a qques temps, du coup est en dépression totale, a été hospitalisée , tentative suicide + grande sœur ("danseuse") , vie perso très troublée, viol , jf qui d'après lui a vécu un traumatisme psycho , peut être un viol en 3ème, info qu'il aurait eu par un de ses camarades de lycée , élève se laisse aller, ne travaille pas ( viol il y a deux ans) , gros soucis psycho, victime d'un enseignant avec d'autres élèves (pédophilie?) , narcoleptique ; hypersomniaque, tentatives de
suicide, varie de la boulimie & anorexie + a perdu son gd-père , s'est teinte en blonde toute seule et n'importe comment. Elle s'est fait un piercing dans le dos de sa mère... , a fait 3 tentatives de suicide .
Des commentaires relatifs à l'entourage familial des parents et élèves ont également été relevés, tels que attouchements sexuels fait par un ami de la famille sur les 3 enfants , s'est faite violée à paques par son cousin! , grande soeur ("danseuse") , sa cousine avait été assassinée et violée , le père avait fait de la prison . 
Les données sont conservées sur la base B sans limitation de durée depuis juillet 2004, date de création de la base de données.
· Sur les formalités préalables effectuées par la société X
Concernant les formalités préalables requises par la loi du 6 janvier 1978 modifiée, il convient d'indiquer que la société Z, dont la société X a repris les actifs en 2006, avait effectué des formalités auprès de la CNIL entre 2004 et 2005. Elle avait ainsi déclaré des traitements ayant pour finalité de délivrer de l'information sur les produits de cours particulier Y (déclaration n° 703669), de vendre des cours particuliers à domicile (déclaration n° 703673) et de mettre en place des cours particuliers (déclaration n° 703675). Elle avait également déclaré son site internet [...] (déclaration n° 1047538) et souscrit un engagement de conformité à la norme simplifiée n° 46 pour la gestion de son personnel (déclaration n° 1137272). 
Il ressort des contrôles diligentés par la Commission que la société X, pour sa part :
· a procédé à la déclaration de son site [...], destiné à communiquer des informations à ses franchisés (déclaration n° 1169352)
· a souscrit un engagement de conformité à la norme simplifiée n°48 pour son traitement de gestion des franchisés (déclaration n° 1169298)
· a également déclaré le site internet [...] réservé aux enseignants.
Elle n'a en revanche procédé à aucune formalité concernant la gestion des candidatures aux postes d'intervenants, à la gestion des enseignants inscrits et la gestion des clients et prospects. 
B. Procédure
A la suite du contrôle diligenté par la Commission les 12 et 13 novembre 2009, une procédure a été engagée sur le fondement du I de l'article 45 de la loi du 6 janvier 1978 modifiée. 
Le I de l'article 45 de la loi du 6 janvier 1978 modifiée dispose : La Commission nationale de l'informatique et des libertés peut prononcer un avertissement à l'égard du responsable d'un traitement qui ne respecte pas les obligations découlant de la présente loi. Le deuxième alinéa de l'article 46 de la loi du 6 janvier 1978 modifiée dispose par ailleurs : La commission peut rendre publics les avertissements qu'elle prononce .
Aux fins de cette procédure, le rapport de M. Jean-François CARREZ, rapporteur, proposant à la formation restreinte de la CNIL de prononcer un avertissement rendu public à l'encontre de la société X, a été envoyé par lettre recommandée avec accusé de réception à celle-ci, qui l'a reçu le 24 février 2010.
Au soutien de sa demande, le rapporteur a fait valoir que les faits relevés lors des contrôles précités révélaient un certain nombre de manquements, chacun d'entre eux étant qualifié avec précision dans le rapport :
· En premier lieu, un manquement à l'obligation de veiller à l'adéquation, à la pertinence et au caractère non-excessif des données, tant en ce qui concerne les élèves et leurs familles (commentaires inappropriés) qu'en ce qui concerne les candidats (collecte du NIR, des coordonnées bancaires et d'informations sur l'entourage familial avant même toute sélection définitive) ;
· En deuxième lieu, un manquement à l'obligation de traiter les données à caractère personnel de façon compatible avec la finalité pour laquelle elles ont été collectées, eu égard au traitement du NIR des candidats afin d'interroger le fichier des enseignants interdits ;
· En troisième lieu, un manquement à l'interdiction de collecter ou de traiter des données à caractère personnel qui sont relatives à la santé des personnes, eu égard à l'enregistrement de commentaires concernant l'état de santé de candidats, d'élèves ou de membres de la famille sans que ceux-ci soient strictement nécessaires à la prise en compte d'une maladie ou à l'organisation des cours ;
· En quatrième lieu, un manquement à l'interdiction de collecter ou de traiter des données à caractère personnel relatives aux infractions, de condamnations et de mesures de sûreté, dès lors que la société n'a aucunement qualité pour mettre en œuvre un tel traitement et que l'activité de soutien scolaire à domicile ne saurait justifier l'enregistrement et la conservation de telles informations, mettant en cause des personnes sur le fondement de signalements et de dénonciations non vérifiables ;
· En cinquième lieu, un manquement à l'obligation de définir une durée de conservation des données, dès lors que les informations contenues dans les bases de données A et B ont été conservées sans limitation de durée depuis la création de celles-ci, qu'aucune durée de conservation n'a été fixée par la société et que les traitements ne font l'objet d'aucune politique de purge ;
· En sixième lieu, un manquement à l'obligation d'accomplir auprès de la Commission les formalités préalables à la mise en œuvre des traitements concernés, dès lors que la société n'a effectué aucune formalité préalable à la mise en œuvre de ses traitements ayant pour finalité la gestion des opérations de recrutement des candidats, la gestion des enseignants et la gestion des clients et prospects, en particulier en ce qui concerne le traitement du NIR des enseignants et la liste d'exclusion des enseignants interdits .
Par un courrier en date du 15 mars 2010, reçu par la société le 17 mars 2010, la Commission a informé cette dernière que son dossier était inscrit à l'ordre du jour de la formation restreinte du 22 avril 2010, à 14h30.
Par un courrier en date du 22 mars 2010, reçu par la Commission le 26 mars, la société a fait part de ses observations sur chacun des manquements reprochés par le rapporteur, l'informant également qu'un certain nombre de mesures avaient été prises dès réception du rapport pour remédier aux manquements constatés. Ces mesures sont les suivantes :
· La suppression des commentaires insatisfaisants des bases de données A et B, ces commentaires ayant été recherchés, supprimés puis remplacés dans les bases par la mention non-conforme à la loi informatique et libertés , et une formation spécifiquement dédiée à la sensibilisation de l'ensemble des salariés aux dispositions de la loi du 6 janvier 1978 modifiée ayant été mise en place ;
· Afin de prévenir toute nouvelle dérive, la mise en place d'un système de filtrage pour empêcher l'apparition de nouveaux commentaires, rendant certains mots ou expressions inacceptables impossibles à enregistrer, et une veille régulière permettant de supprimer les éléments non-conformes ;
· Le rappel aux collaborateurs des sanctions disciplinaires prévues en cas de non-respect des consignes données en matière de protection des données ;
· Concernant la demande et l'enregistrement de certaines informations jugées non pertinentes au stade du recrutement, la suppression de ces données dans les formulaires de demande d'informations et dans les bases.
A ce courrier était annexée une note adressée par la direction de la société X aux responsables d'agence, ayant pour objet de sensibiliser leurs équipes aux dispositions de la loi informatique et libertés n°78-17 du 6 janvier 1978 modifiée.
En outre, lors de la séance de la formation restreinte de la CNIL du 22 avril 2010, la société X a présenté plusieurs observations orales en défense. 
Lors de cette audience, la société X, sans remettre en cause la matérialité des faits constatés lors du contrôle précité, a sollicité de la Commission qu'elle demande au commissaire rapporteur de poursuivre ses diligences, sur le fondement de l'article 77 du décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée.A l'appui de sa demande, la société X a avancé les éléments suivants.
En premier lieu, il serait contestable de la qualifier de responsable de traitement au sens de la loi du 6 janvier 1978 modifiée, alors que cette qualification ne s'attacherait qu'à la société holding Y GROUPE SAS. Selon elle, de nombreuses entités travaillant sous la marque Y ne seraient pas pour autant en lien direct avec le groupe, comme en témoignerait son organigramme. Pour beaucoup d'entre elles, le seul lien existant serait celui d'un contrat de franchise et de licence de marque, par lequel la société holding formalise sa prestation de service centralisé avec chacune des entités partenaires. La société X ne serait ainsi qu'une des multiples sociétés utilisant les bases B et A dans le cadre de ce contrat de prestation de service, sans avoir la capacité de déterminer ni les finalités ni les moyens du traitement. Elle indique également que les bases B et A sont accessibles via une URL [...], propriété de la société Y, ce qui, selon elle, tendrait à lui affecter, à elle et à elle seule, la qualification de responsable des traitements opérés dans ces bases au sens de la loi. Elle relève enfin que les commentaires figurant dans la base ont pour une large part été émis par des employés d'autres sociétés du groupe Y.
En deuxième lieu, la Commission aurait une appréciation erronée de son activité en lui accordant un pouvoir de recrutement dont elle ne dispose pas, dans la mesure où elle travaille en réalité sur le seul mode du mandat ; ainsi, seuls les parents ayant recours à des enseignants deviennent formellement employeurs, et, à ce titre, payent les charges sociales afférentes à l'emploi de ces personnes.
En troisième lieu, depuis la révélation des faits reprochés, la société aurait fait de nombreux efforts de mise en conformité ; en témoignerait ainsi la récente désignation d'un correspondant à la protection des données pour la société Y GROUPE SAS, la mise en œuvre de diverses modifications des traitements concernés pour les mettre en conformité avec la loi informatique et libertés , notamment la modification des formulaires de sélection des enseignants (le NIR n'étant plus collecté avant l'embauche par les familles), la diffusion d'une note de service aux salariés du groupe pour les sensibiliser à la loi informatique et libertés , le repérage et la suppression des commentaires répréhensibles dans les bases, et la mise en place d'un système de filtrage avec mots clés.
II. MOTIFS DE LA DECISION
Sur la qualification préalable de la société X en tant que responsable de traitement
Le I de l'article 3 de la loi du 6 janvier 1978 modifiée définit la notion de responsable de traitement comme la personne, l'autorité publique, le service ou l'organisme qui détermine les finalités et les moyens du traitement . 
La Commission estime que les faits de l'affaire, tels qu'ils ressortent des éléments du dossier, et notamment des contrôles opérés les 12 et 13 novembre 2009, l'autorisent à accorder la qualité de responsable de traitement à la société X, en dépit de ce que soutient cette dernière.
Elle relève en premier lieu que les constats opérés par les contrôleurs les 12 et 13 novembre 2009 ont bien été opérés dans les locaux de la société X, à [...], et non dans les locaux de la société Y GROUPE SAS. 
De même, il ressort des procès-verbaux rédigés lors de ces contrôles que M. A...., président de la société X, n'a jamais contesté que cette société était responsable des traitements mis en cause. 
La Commission relève au demeurant qu'il ressort des pièces du dossier que les lettres adressées aux parents au nom de Y sont au timbre de X, de même que les fiches enseignants que renseignent ces derniers, et qui correspondent aux champs de saisie des données dans la base.
Elle constate également que c'est par un courrier signé de M. A..., président, au timbre de X, qu'il lui a été fait part des diverses mesures tendant à remédier aux manquements constatés, notamment la modification des formulaires de candidature ou de mandat, la réflexion relative à la suppression du code NIR dans les formulaires et dans les bases, ou encore la recherche et la suppression automatique des commentaires déplacés dans ces mêmes bases.
Il apparaît ainsi que la société X, qui dispose d'un véritable contrôle sur les bases de données précitées et sur leur contenu, détermine de manière autonome la manière dont sont traitées les informations qu'elle reçoit dans le cadre de son activité. En particulier, la Commission relève que la société X exerce un contrôle sur les données concernant les candidats qu'elle sélectionne, les enseignants auxquels elle attribue des cours ainsi que les clients et prospects sollicitant ses services.
Il ressort de ce qui précède que la société X détient la faculté, à tout le moins partielle, de déterminer les finalités et les moyens des traitements mis en cause. La Commission se trouve donc fondée à lui attribuer la qualité de responsable de traitement dans cette affaire.
Sur la violation des droits et libertés mentionnés à l'article 1er de la loi du 6 janvier 1978 modifiée
Sur l'obligation de veiller à l'adéquation, à la pertinence et au caractère non-excessif des données
1°) La Commission estime qu'il est parfaitement légitime de procéder à la collecte d'informations concernant les élèves et leurs parents, en vue d'adapter les prestations fournies par la société aux situations individuelles et de faciliter la relation commerciale avec la clientèle. Elle estime qu'il est également parfaitement légitime de collecter des informations concernant les enseignants qui seront amenés à travailler au contact d'enfants, dès lors que cette collecte a pour objet de permettre à la société d'évaluer leurs compétences professionnelles et leur aptitude à dispenser des cours. 
En revanche, elle ne saurait admettre que soient enregistrés des commentaires excessifs et inappropriés sur ces personnes, qui seraient susceptibles de porter gravement atteinte à leur vie privée. 
Or, nombre des commentaires concernant les enseignants et les clients de la société qui ont été relevés lors des contrôles s'avèrent, pour un grand nombre d'entre eux, être à tout le moins inappropriés et subjectifs, voire insultants ; ainsi :
· concernant les candidats : GROS CON!! BEAUCOUP TROP SUR DE LUI NE SURTOUT PAS CONVOQUE , négligé, pas sain, sent le tabac et la cave, a l'air à l'ouest... , petit détail annexe : sent mauvais de la bouche , sent la transpiration ( ne connait pas le déo ) ;· concernant les enseignants inscrits : cette conne n'a contacte aucun élève , prquoi ns plante t'il des cours ce crétin fini?!? , ce gros con, laisse tomber ses élèves , cette conne de [...] ne nous prévient pas , elle n'a plus de voiture !!! , vraiment trop conne [...] lorsqu'elle s'y met , ; Seul bémol : il pue. Sa transpiration est insupportable ;
· concernant les parents d'élèves : le père est un gros con il ne veut pas payer les cours de sa fille , Gros con ! imbuvable !! mr borné ! impossible de parler, d'avoir des infos pour apc, et de déterminer une fréquence de cours et avoir une approche pédagogique avec ce genre de parisien frustré !!!! psyco rigide ! , GROSSE CONNE , la maman est une grosse conne , Mere salope , père pas malin du tout ( voir crétin) , Mme est rasciste, homophobe c'est certain , JE CROIS QUE MME EST RACISTE et qu'elle n'm pas les hommes............ , Mr est RACISTE !! ;
· concernant les élèves : trop de profs ont déjà défilé chez sa saloperie de gamin , s'est teinte en blonde toute seule et n'importe comment. Elle s'est fait un piercing dans le dos de sa mère... .
A l'évidence, de telles données sont excessives au regard du 3° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui dispose que les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs . 
2°) Par ailleurs, la Commission relève que l'article L.1221-6 du code du travail dispose que les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d'apprécier sa capacité à occuper l'emploi proposé ou ses aptitudes professionnelles . Ces informations doivent présenter un lien direct et nécessaire avec l'emploi proposé ou avec l'évaluation des aptitudes professionnelles .
Ainsi, les coordonnées bancaires et les informations relatives à l'entourage familial du candidat qui sont collectées par la société X avant tout recrutement du candidat par les familles ne présentent pas de lien direct et nécessaire avec l'emploi proposé ou avec l'évaluation des aptitudes professionnelles . Elles ne sauraient dès lors être considérées comme répondant à l'obligation de pertinence des informations pouvant être collectées dans cette phase de sélection des candidats.
De même le numéro de sécurité sociale (NIR) des candidats enseignants, qui ne permet pas d'apprécier les capacités et aptitudes professionnelles de ceux-ci, ne saurait être collecté avant leur recrutement. Comme l'indiquait la Commission dans sa recommandation n° 02-017 du 21 mars 2002, le NIR, la domiciliation bancaire et l'entourage familial du candidat ne sauraient être collectés dans le cadre d'opérations de recrutement sauf cas particuliers justifiés par la nature très spécifique du poste à pourvoir ou, le cas échéant des règles en vigueur dans le pays étranger concerné par le poste Ainsi, la collecte du NIR, en vue d'accomplir pour le compte des clients les formalités requises auprès des organismes de sécurité sociale, ne devrait être effectuée qu'auprès des enseignants définitivement recrutés. 
En conséquence, la Commission considère que les données précitées, collectées par la société au stade du recrutement, sont inadéquates, non pertinentes et excessives au regard du 3° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée.
Sur le manquement à l'obligation de traiter les données à caractère personnel de façon compatible avec la finalité pour laquelle elles sont collectées
La Commission considère qu'il est légitime que la société collecte le NIR des enseignants afin d'accomplir les formalités imposées par la loi auprès des organismes de sécurité sociale pour le compte de ses clients. Il n'importe d'ailleurs pas, à cet égard, que la qualité d'employeur ne s'attache formellement qu'aux familles recrutant les enseignants, et non à la société X. 
Elle considère en revanche que l'utilisation de ce numéro comme identifiant des enseignants interdits apparaît incompatible avec la finalité initiale de sa collecte. De surcroît, ce traitement du NIR n'apparaît pas indispensable à l'identification des personnes concernées, lesquelles peuvent l'être par leurs nom, prénom et date de naissance. Il intervient en tout état de cause en dehors de la sphère sociale, et par conséquent en dehors des règles légales qui encadrent l'utilisation du NIR. 
En conséquence, le traitement du NIR des candidats afin d'interroger le fichier des enseignants interdits constitue un détournement de la finalité ayant présidé à la collecte de cet identifiant, faits contraires aux dispositions du 2° de l'article 6 de la loi du 6 janvier 1978 modifiée.
· Sur le manquement à l'interdiction de collecter ou de traiter des données à caractère personnel qui sont relatives à la santé des personnes
Aux termes de l'article 8 de la loi du 6 janvier 1978 modifiée, il est interdit de collecter ou de traiter des données à caractère personnel qui sont relatives à la santé des personnes, sauf dans les cas prévus au II de cet article, notamment en cas de consentement exprès, c'est-à-dire écrit, des personnes concernées. 
La Commission relève en premier lieu qu'il ne ressort pas des éléments du dossier que le consentement des personnes concernées ait été requis aux fins de lever l'interdiction posée par les textes.
En outre, s'il est légitime d'enregistrer des informations sur l'indisponibilité ou les contraintes d'ordre médical d'une personne, l'enregistrement par la société de la pathologie affectant précisément cette dernière ne saurait être admis alors qu'il aurait été parfaitement envisageable, par exemple, d'indiquer que telle personne est indisponible de telle date à telle date, ou encore que les cours ne pourront durer plus d'une heure, pour raisons médicales .
S'agissant plus particulièrement des données de santé concernant les élèves, la Commission considère que l'enregistrement d'informations relatives à des impératifs liés à la santé d'un élève peut être considéré comme légitime, dès lors qu'elles ont pour objet de permettre l'organisation de sa scolarité. Pour autant, la société ne saurait enregistrer des informations détaillées sur la nature des pathologies des personnes, en particulier en l'absence de consentement exprès de leur part, et ne saurait enregistrer des données de santé détaillées qui ne seraient aucunement liées à la prise en compte des conséquences d'une maladie sur l'organisation des cours.
Or les faits relevés lors des contrôles opérés les 12 et 13 novembre 2009 ont permis de constater que de nombreuses informations relatives à la pathologie des personnes avaient été collectées en dehors de ces prescriptions. Ainsi, ont été enregistrés de nombreux commentaires relatifs à la santé des candidats et des enseignants, tels que hospitalisé en urgence pour une tumeur cancéreuse au cerveau de grade 3 , fausse couche d'un de ses jumeaux , a eu une leucémie , cancer du sein ; d'autres ont été enregistrés sur l'entourage familial des enseignants, telles que son père vient d'apprendre son cancer du poumon tant mérité (a fumé pdt 45 ans!) , sa maman a cancer utérus , son beau-père a cancer de la gorge ; d'autres enfin ont été enregistrés sur les enfants concernés, tels que : va aller passer en février test neurologique a marseille (car enfant adopte ! sa mere lui ayant fait boire de l'alcool etant bebe !) , narcoleptique ; hypersomniaque, tentatives de suicide, varie de la boulimie & anorexie + a perdu son gd-père .
La Commission ne peut dès lors que constater que l'enregistrement de telles données sur les élèves, les candidats, les enseignants et leur entourage familial, tel que relevé par les contrôleurs dans les bases B et A, est contraire à l'article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée.
Sur le manquement à l'interdiction de collecter ou de traiter des données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté