AgentPublic/cnil huggingface dataset:
L’information des personnes est assurée par la diffusion du Code éthique et d’une lettre d’information à l’ensemble des salariés. La personne éventuellement mise en cause sera informée dès l’enregistrement des données la concernant.
Les droits d’accès et de rectification s’exercent auprès de la Direction de la conformité, mais également auprès du Correspondant Informatique et Libertés du groupe KION.
Les catégories de données à caractère personnel enregistrées sont identiques à celles mentionnées à l’article 3 de l’autorisation unique.
Les destinataires des informations sont, dans la limite de leurs attributions et pour la finalité précitée, les seuls membres du Comité de déontologie du groupe KION, à savoir le Directeur du département central d’audit interne, le Directeur du département juridique, le Directeur du service central des ressources humaines et le Chief Compliance Officer.
Dans ces conditions, la Commission autorise la société FENWICK LINDE à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
Le Président,
Alex TÜRK
(Demande d’autorisation n°1415659 V1)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu la demande d’autorisation du 1er mars 2010, présentée par la Société EADS FRANCE SAS, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Vu la demande de modification, reçue le 6 avril 2011 pour l’élargissement du champ d’application du dispositif d’alerte professionnelle ;
Sur le rapport de M. Emmanuel DE GIVRY, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Conformément au Code Néerlandais de bonne gouvernance d’entreprise auquel la société mère du Groupe (EADS Holding NV) est soumise et qui impose la mise en place d’un système d’alerte professionnelle pour les sociétés cotées, la société EADS FRANCE SAS a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel dénommé « Système d’alerte professionnelle Openline ».
La société EADS France SAS agit en qualité de responsable de traitement pour l’ensemble des sociétés du groupe EADS concernées par le dispositif d’alerte professionnelle. En effet, la Commission constate qu’elle détermine seule les finalités et les moyens du traitement.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. Cette délibération a été modifiée le 14 octobre 2011 et intègre désormais dans le champ d’application de l’article 1er les pratiques anticoncurrentielles.
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par l’autorisation unique, à l’exception du fondement juridique indiqué à l’article 1. En effet, le traitement se fonde sur le respect des dispositions du Code Néerlandais de bonne gouvernance d’entreprise.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission constate :
que le dispositif d’alerte professionnelle envisagé par la société EADS FRANCE SAS est complémentaire par rapport aux autres modes d’alerte dans l’entreprise,
que son utilisation est facultative, aucune sanction ne pouvant être prise à l’encontre d’un salarié en cas de non utilisation du dispositif. 
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dispositif d’alerte professionnelle indique que l’utilisation est strictement limitée aux manquements sérieux qui s’appliquent aux domaines financier, comptable, de lutte contre la corruption et aux pratiques anticoncurrentielles.
Aucune autre irrégularité ne doit être signalée par le biais de ce dispositif.
La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ et répond à l’intérêt légitime du responsable du traitement. 
Par ailleurs, la Commission observe que le dispositif soumis par la société EADS FRANCE n’est pas conçu pour permettre des signalements anonymes. L’émetteur de l’alerte professionnelle doit s’identifier auprès du prestataire désigné par la société EADS FRANCE SAS (Deloitte & Touche Investments (Proprietary) Limited) pour recueillir les alertes. Son identité est traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
Enfin, la Commission relève que les données relatives à l’alerte feront l’objet d’un transfert hors de l’Union Européenne, le prestataire chargé du recueil des alertes étant situé en République d’Afrique du Sud. Ce traitement garantit un niveau de protection suffisant notamment en raison des clauses contractuelles dont il fait l’objet.
Les droits d’accès et de rectification s’exercent directement par courrier électronique auprès de la personne habilitée de la société Deloitte & Touche Investments (Proprietary) Limited via l’adresse email openline@eadsopenline.com
Les catégories de données à caractère personnel enregistrées sont identiques à celles mentionnées dans l’autorisation unique n°4 (Délibération n°2005-305 du 8 décembre 2005). 
Les destinataires des informations sont, dans la limite de leurs attributions, le personnel de la société Deloitte and Touche Investments (Proprietary) Limited et le Compliance Office de EADS FRANCE SAS.
Dans ces conditions, la Commission autorise la société EADS FRANCE SAS, à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
La présente délibération abroge la délibération n° 2010-087 du 25 mars 2010.
Le Président,
Alex TÜRK
La Commission nationale de l'informatique et des libertés, 
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ; 
Vu l’ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n°2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n°2007-284 du 2 mars 2007 fixant les modalités d'élaboration, d'approbation, de modification et de publication du référentiel général d'interopérabilité ;
Vu l’arrêté du 6 mai 2010 portant approbation du référentiel général de sécurité et précisant les modalités de mise en œuvre de la procédure de validation des certificats électroniques ;
Vu l’arrêté du 9 novembre 2009 portant approbation du référentiel général d'interopérabilité ;
Vu le référentiel général d’interopérabilité, version 1.0 du 12 mai 2009, de la Direction générale de la modernisation de l’État du ministère du Budget, des comptes publics et de la de la fonction publique ;
Vu le référentiel général de sécurité, version 1.0 du 6 mai 2010, de l’Agence nationale de la sécurité des systèmes d’information et de la Direction générale de la modernisation de l’État du ministère du Budget, des comptes publics et de la réforme de l’État.
Après avoir entendu M. Yann PADOVA, secrétaire général, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
 Formule les observations suivantes :
Sur le téléservice de dépôt de plaintes en ligne
L’article 11 c) de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel dispose que la Commission reçoit les « plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci ».
Le 15 juin 2010, la Commission a mis en ligne un téléservice permettant aux usagers de lui adresser leurs plaintes à partir de son site Internet. À titre d’expérimentation, il ne concerne que les personnes qui ont demandé sans succès à ne plus recevoir de publicités (radiation d’un fichier de prospection) et celles qui n’ont pas pu exercer leur droit d’accès.
Ce téléservice permet tout d’abord aux internautes d’être informés et orientés selon leur situation. Il leur permet également de saisir des éléments de plainte (sur l’internaute, sur l’organisme qui détient le fichier, et sur les démarches qui ont été entreprises) et d’envoyer des pièces jointes à l’aide d’un formulaire prévu à cet effet. Une fois la saisie réalisée, un accusé de réception leur est envoyé de manière automatique. Au-delà du téléservice, la plainte est ensuite qualifiée et instruite par les services de la Commission par le processus traditionnel.
Sur le référentiel général de sécurité
Le référentiel général de sécurité (RGS), prévu par l’article 9 de l’ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et approuvé par l’arrêté du 6 mai 2010, a été élaboré conjointement par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et par la Direction générale de la modernisation de l’État (DGME) du ministère du Budget, des comptes publics et de la réforme de l’État. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations.
La conformité au référentiel général de sécurité se traduit par l’application d’une part des règles relatives au cadre pour gérer la sécurité des systèmes d’information, et d’autre part des règles relatives aux fonctions de sécurité mises en œuvre.
Il dispose notamment qu’il convient d’identifier les biens à protéger et les menaces à considérer au moyen d'une analyse de risques, de déterminer les objectifs de sécurité selon les critères de disponibilité, confidentialité, intégrité, traçabilité pour se protéger de manière proportionnée face aux risques, et d’en déduire les fonctions de sécurité nécessaire et leur niveau.
Lorsque ces fonctions de sécurité sont décrites dans le référentiel général de sécurité (signature électronique, authentification, chiffrement, horodatage, ainsi que d'une manière générale tout mécanisme cryptographique et processus de gestion des clés), il convient d’en respecter les règles pour le niveau déterminé au préalable. En outre, il est recommandé de recourir à des produits de sécurité et offres de services de prestataires qualifiées.
Enfin, il convient qu’une autorité, dite d’ « homologation », atteste formellement de la prise en compte de la sécurité par le biais d'une homologation de sécurité, acte par lequel l'autorité administrative engage sa responsabilité. L’autorité d’homologation est celle à laquelle est attribuée la responsabilité du téléservice. Cette décision doit être accessible par Internet.
Conformément à l’article 14 de l’ordonnance n°2005-1516 du 8 décembre 2005, la conformité du téléservice doit être assurée avant le 18 mai 2011 puisqu’il a été créé dans les six mois suivant la publication au Journal officiel, le 18 mai 2010, de l’arrêté du 6 mai 2010 portant approbation du référentiel général de sécurité et précisant les modalités de mise en œuvre de la procédure de validation des certificats électroniques.
Sur les sécurités du téléservice de dépôt de plaintes en ligne
Afin d’assurer la mise en conformité à l’ordonnance n°2005-1516 du 8 décembre 2005, le téléservice de dépôt des plaintes en ligne de la Commission a fait l’objet d’une étude des risques de sécurité des systèmes d’information.
L’étude des risques a permis d’identifier les biens à protéger, les menaces et les objectifs de sécurité pour se protéger de manière proportionnée face aux risques. Les fonctions de sécurité et leur niveau ont été déduits, et les règles du référentiel général de sécurité afférentes à la fonction d’authentification d’un serveur ont été prises en considération.
La Commission note que le flux de données circulant entre le formulaire et le serveur web de la Commission est chiffré à l’aide d’un certificat électronique permettant d’authentifier le serveur (utilisation du protocole HTTPS). Par ailleurs, les données saisies sont vérifiées, les formats et le volume des pièces jointes sont limités, le réseau est cloisonné par rapport au réseau interne de la Commission, les accès sont contrôlés, les données sont sauvegardées et des traces journalisées. Un ensemble de mesures sur l’organisation, les locaux, les matériels, les logiciels et les réseaux, complète le dispositif de sécurité existant et des mesures complémentaires ont été déterminées pour l’améliorer.
En outre, la décision créant le téléservice et ses modalités d’utilisation seront rendues accessibles depuis le téléservice, la décision d’homologation fera l’objet d’une information sur le site Internet, un fournisseur de certificat électronique sera choisi dans la liste des prestataires référencés au sens de l’ordonnance n°2005-1516 du 8 décembre 2005 dès qu’elle sera publiée, des procédures seront établies avec le prestataire choisi pour garantir qu’il respecte de référentiel général de sécurité, la protection de la confidentialité et de l’intégrité de la clé privée qu’il aura délivrée pour authentifier le serveur de la Commission sera assurée, et le certificat électronique correspondant sera fourni à l’Agence nationale de la sécurité des systèmes d’information pour qu’elle le valide.
Enfin, la Commission prend acte que l’ensemble des exigences du référentiel général d’interopérabilité sont respectées.
Sur l’homologation de sécurité
La Commission s’engage à mettre en place les mesures prévues et à en assurer le suivi afin de garantir la conformité au référentiel général de sécurité.
La Commission décide de prononcer l’homologation du téléservice de dépôt de plaintes en ligne, au vu de l’étude des risques réalisée, pour une durée d’un an. 
Le président
Alex TÜRK
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, telle que modifiée par la loi n° 2004-801 du 6 août 2004, notamment son article 13 ;
Vu la loi n° 2011-334 du 29 mars 2011 relative au Défenseur des droits, et notamment son article 5 ;
Après qu'il a été procédé au vote en présence du commissaire du Gouvernement,
Constate : 
Article 1
Mme Claire DAVAL, MM. Jean-François CARREZ, Jean-Marie COTTERET, Claude DOMEIZEL, Sébastien HUYGHE et Dominique RICHARD sont élus membres de la formation restreinte de la Commission nationale de l'informatique et des libertés. 
Article 2
Mme Claire DAVAL est élue présidente de la formation restreinte. 
Article 3
La formation restreinte de la commission est ainsi composée :
Mme Claire DAVAL, présidente ;
M. Jean-François CARREZ ;
M. Jean-Marie COTTERET ;
M. Claude DOMEIZEL ;
M. Sébastien HUYGHE ;
M. Dominique RICHARD. 
Article 4
Le président de la commission est chargé de l'exécution de la présente délibération, qui sera publiée au Journal officiel de la République française. 
Fait le 5 mai 2011. 
Le président, 
A. Türk
La Commission nationale de l'informatique et des libertés, 
Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration, d'une demande d'avis concernant un projet de décret relatif au système informatisé de gestion des dossiers des ressortissants étrangers en France et à certains documents de voyage pour étrangers ; 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le règlement (CE) n° 1030/2002 du Conseil du 13 juin 2002 modifié établissant un modèle uniforme de titre de séjour pour les ressortissants de pays tiers ; 
Vu le règlement (CE) n° 2252/2004 du Conseil du 13 décembre 2004 modifié établissant des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les États membres ; 
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, et notamment ses articles L. 611-3 et L. 611-5 ; 
Vu le code de procédure pénale, et notamment ses articles 78-2 et 78-3 ; 
Vu le code du travail, et notamment son article L. 5411-4 ; 
Vu le code de la sécurité sociale, et notamment son article L. 115-6 ;
Vu le code des douanes, et notamment son article 67 quater ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27 ;
Vu la loi n° 2006-64 du 23 janvier 2006 modifiée relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers, et notamment son article 9 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Après avoir entendu M. Sébastien HUYGHE, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ; 
Emet l'avis suivant : 
La Commission a été saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration, d'une demande d'avis concernant un projet de décret relatif au système informatisé de gestion des dossiers des ressortissants étrangers en France et à certains documents de voyage pour étrangers.
Ce projet de décret vise notamment à remplacer les dispositions réglementaires du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) concernant les traitements dénommés  AGDREF  (Application de Gestion des Dossiers des Ressortissants Etrangers en France) et  ELOI  relatif aux étrangers faisant l'objet d'une mesure d'éloignement, dont les fonctionnalités seront réunies dans une nouvelle application dénommée  AGDREF 2 . 
Il devrait permettre des évolutions majeures du traitement AGDREF, devenu largement obsolète, et qui constitue l'outil principal de gestion administrative des étrangers et de production des titres de séjour. Ce projet de décret vise ainsi à faire application des dispositions de l'article L. 611-3 du CESEDA, qui prévoient la possibilité de relever et d'enregistrer dans un traitement de données à caractère personnel les empreintes digitales et la photographie des ressortissants étrangers sollicitant la délivrance d'un titre de séjour, ainsi que des étrangers en situation irrégulière en France ou qui font l'objet d'une mesure d'éloignement du territoire français. L'article L. 611-5 dudit code prévoit en outre qu'un décret en Conseil d'Etat, pris après avis de la CNIL, fixe les modalités d'application de ces dispositions.
Conformément aux dispositions communautaires susvisées, cette application devrait également permettre la délivrance de titres de séjour biométriques, ainsi que de titres de voyage biométriques pour réfugiés, bénéficiaires de la protection subsidiaire et apatrides, lorsque ces titres ont une durée de validité supérieure à un an. 
La création du traitement AGDREF 2 devrait par ailleurs permettre la mise en relation de tous les services de l'Etat et organismes rattachés intervenant dans la gestion administrative des étrangers, afin que les informations nécessaires à cette gestion soient mieux partagées entre les acteurs concernés. Les évolutions projetées visent ainsi à moderniser et à améliorer le fonctionnement de ce fichier de référence en matière d'étrangers, qui concerne environ sept millions de personnes. 
Enfin, ce projet de décret modifie les dispositions applicables en matière d'entrée et de séjour des étrangers à Mayotte, afin d'y permettre la mise en place d'AGDREF 2. 
Dans la mesure où ce traitement fait notamment appel à un dispositif biométrique, la Commission considère que sa création relève des dispositions de l'article 27 de la loi du 6 janvier 1978 modifiée. 
1. Sur les finalités du traitement AGDREF 2
Le projet d'article R. 611-1 du CESEDA précise les finalités du traitement AGDREF 2, qui relève du ministère chargé de l'immigration. La Commission observe tout d'abord que certaines de ces finalités sont inchangées par rapport au système actuel, comme le traitement des dossiers des ressortissants étrangers et la fabrication des titres de séjour et de voyage, ainsi que la production de statistiques en matière de séjour et d'éloignement des étrangers. Elle prend également acte que le traitement vise à mieux garantir le droit au séjour des personnes en situation régulière et à lutter contre l'entrée et le séjour irréguliers des étrangers en France, conformément aux dispositions de l'article L. 611-3 du CESEDA. La Commission considère en outre comme légitimes la simplification des démarches administratives effectuées par les étrangers et l'amélioration de la coordination des services intervenant dans le cadre de la gestion de leurs dossiers.