AgentPublic/cnil huggingface dataset:
Est notamment couverte par ces procédures la mise en œuvre des mesures de protection des données dans le cadre des traitements de données réalisés pour :
			- l'évaluation des compétences des intervenants et des apprenants ;
			- les actions de communication du prestataire à destination du public.
2. Exigences relatives à l'information du public sur les formations proposées
			C04. Le prestataire conçoit et propose au moins une formation à la protection des données qui couvre la totalité des objectifs du référentiel général d'aptitudes et de compétences figurant en annexe 1.
			C05. Lorsque le prestataire propose une formation qui ne couvre pas à la totalité des objectifs du référentiel général d'aptitudes et de compétences figurant en annexe 1, il informe les apprenants et leur commanditaire de ces exclusions et des prérequis qui en découlent.
3. Exigences relatives à l'identification des besoins et des objectifs de formation
			C06. Le prestataire définit les objectifs de chaque formation en termes d'acquis d'aptitudes et de compétences.
			Le cas échéant, ces acquis d'aptitudes et de compétences précisent ou complètent le référentiel en annexe 1.
			C07. Le prestataire définit et met en place une procédure permettant de recueillir et d'analyser les besoins de formation, en matière de protection de données, des apprenants et de leur commanditaire, en vue d'identifier des objectifs de formation.
Lorsqu'une demande de formation porte sur une prestation préexistante, le prestataire :
			- s'assure que les objectifs de cette formation sont adaptés au besoin des apprenants et du commanditaire ;
			- recueille leurs besoins spécifiques en fonction desquels il peut proposer d'intégrer à la formation des objectifs complémentaires.
			Note : cela n'implique pas l'obligation de concevoir ou d'adapter une prestation préexistante à tous les objectifs identifiés à l'occasion du recueil du besoin. En revanche, si la prestation n'est pas totalement adaptée aux besoins exprimés par les apprenants et leur commanditaire, ceux-ci doivent être informés des objectifs qui ne seront pas couverts par la formation proposée.
			C08. Lorsque les objectifs d'une formation visent spécifiquement un secteur d'activité, une thématique particulière ou un type particulier d'opération de traitement de données, le prestataire identifie les compétences spécifiques nécessaires à la conception, à l'adaptation et à la réalisation de cette formation.
			Note : la liste informative des secteurs d'activité, des thématiques particulières et des types particuliers d'opération de traitement de données publiée par la CNIL peut être utilisée à cette fin.
			C09. Le prestataire qui décide de concevoir une formation préparant à une certification de compétences approuvée par la CNIL prend en compte les critères de cette certification lors de la définition des objectifs de la formation.
4. Exigences relatives à la conception des formations
			C10. Le prestataire établit le contenu des formations et les méthodes mobilisées, qui incluent une dimension théorique et pratique, en tenant compte des objectifs convenus avec les apprenants et leur commanditaire lors de la phase d'analyse des besoins.
			Lorsque le prestataire conçoit une formation dont les objectifs portent sur un secteur spécifique, une thématique particulière ou un type particulier d'opération de traitement de données, il prend en compte les référentiels applicables publiés par la CNIL et le Comité européen de la protection des données.
			C11. Le prestataire élabore et documente les modalités d'évaluation de l'atteinte par les apprenants des objectifs de chaque formation.
			En particulier, le prestataire s'assure que les modalités d'évaluation couvrent la totalité des objectifs de chaque formation.
			C12.Le prestataire réalise une veille de l'actualité en matière de protection des données, de la législation applicable à la protection des données et de l'état de l'art en matière de sécurité de l'information.
			Le prestataire identifie régulièrement les formations impactées par les nouveautés identifiées.
			C13. Le prestataire revoit et met à jour le contenu des formations en fonction :
			- de l'évolution des besoins et des retours des apprenants et de leur commanditaire ;
			- du résultat des évaluations des apprenants ;
- de l'actualité en matière de protection des données : lignes directrices du Comité européen de la protection des données, référentiels élaborés par la CNIL, communications et mesures correctives de la CNIL, etc. ;
			- de l'évolution de la législation en matière de protection des données ;
			- du développement des techniques en matière de sécurité de l'information ;
			- de l'évolution des menaces en matière de sécurité de l'information.
			C14. Le prestataire s'assure que le contenu des formations a été actualisé depuis moins de 3 mois au moment de leur réalisation.
			C15. Lors de la modification ou de l'adaptation des objectifs d'une formation, le prestataire s'assure que le contenu de cette formation et les modalités d'évaluation restent adéquats.
			C16. Le prestataire mobilise des concepteurs qui disposent des compétences nécessaires à l'atteinte des objectifs identifiés, notamment s'agissant des secteurs spécifiques et des thématiques particulières ou types particuliers d'opérations de traitement.
			C17. Le prestataire s'assure que les évolutions du contenu de chaque formation et des modalités d'évaluation font l'objet d'un suivi qui permet la maîtrise des modifications, par exemple par contrôle des versions.
			Le prestataire documente l'objet des modifications apportées, la date d'application de ses modifications et leurs auteurs.
5. Exigences relatives à la préparation et à l'adaptation des formations aux apprenants
C18. Lorsque la demande de formation porte sur une prestation préexistante, le prestataire adapte le contenu de la formation aux objectifs complémentaires convenus avec les apprenants et leur commanditaire lors de la phase d'analyse des besoins.
			C19. Le prestataire mobilise des formateurs qui disposent des compétences nécessaires à l'atteinte des objectifs identifiés, notamment s'agissant des secteurs spécifiques et des thématiques particulières/types particuliers d'opérations de traitement, et en prenant en compte les besoins des apprenants.
			Lorsque le prestataire souhaite faire appel à des intervenants qui ne remplissent pas les critères de compétences des formateurs du présent référentiel (intervenant hors critères ), ou que l'organisme n'est pas en mesure de démontrer le respect de ces critères pour ces intervenants, il s'assure que les interventions concernées font l'objet d'une évaluation par un formateur répondant aux critères de compétences du présent référentiel (formateur qualifié ).
			Cette évaluation vise à analyser la pertinence de l'intervention pour l'atteinte des objectifs de la formation, en complément des interventions réalisées par les formateurs mobilisés pour la prestation. Pour les interventions régulières, cette évaluation est renouvelée tous les ans.
			Note : tout recours à des intervenants hors critères doit être justifié par une intervention nécessitant un profil d'intervenant spécifique.
6. Exigences relatives aux conditions de réalisation des formations
			C20. Le prestataire tient une liste des sessions de formations à la protection des données qui ont été réalisées. Cette liste inclut notamment la date, la référence de la formation, le nom des intervenants et le nombre d'apprenants ayant terminé la formation.
7. Exigences relatives aux compétences des intervenants
			C21. Le prestataire s'assure que son personnel possède les compétences requises pour recueillir les besoins des apprenants et de leur commanditaire, définir les objectifs des formations demandées et identifier les secteurs spécifiques, les thématiques particulières ou les types particuliers d'opérations de traitement.
			C22. Le prestataire s'assure que les concepteurs du contenu des formations, les concepteurs des modalités d'évaluation et les formateurs ont une expérience professionnelle qui inclut :
			- (profil technique ) au moins 3 ans dans des postes ou des fonctions dédiées à la conception, ou à l'évaluation ou à la mise en œuvre de mesures relatives à la sécurité de l'information ; ou
			- (profil juridique ) au moins 3 ans dans des postes ou des fonctions dédiées à l'analyse, ou à l'évaluation ou à la mise en œuvre de la réglementation applicable à la protection des données à caractère personnel.
Lorsqu'une formation est conçue ou réalisée par un unique intervenant, le prestataire s'assure que cet intervenant dispose d'une expérience professionnelle qui permet de justifier d'une expérience correspondant à la fois aux profils technique et juridique définis par le présent référentiel.
			Le prestataire s'assure que cette expérience professionnelle n'est pas antérieure à 2 ans au moment de l'intervention.
			Note : les expériences professionnelles acquises en tant que stagiaire ou apprentis ne sont pas comptabilisées.
			C23. Le prestataire s'assure que les concepteurs et les formateurs justifient :
			- a minima d'un diplôme en droit de niveau master 2 ou équivalent ; ou
			- a minima d'un diplôme de niveau master 2 ou équivalent dans le domaine de l'informatique, des systèmes d'information ou de la cybersécurité ; ou
			- d'une formation diplômante relative à la protection des données à caractère personnel.
			A défaut de justifier d'un de ces diplômes, les concepteurs et les formateurs doivent justifier au titre de la validation des acquis de l'expérience dans le contexte de ce référentiel :
			- d'une expérience professionnelle à plein temps d'au moins 5 ans dans des postes ou des fonctions dédiées à la conception, ou à l'évaluation ou à la mise en œuvre de mesures relative à la sécurité de l'information ; ou
- d'une expérience professionnelle à plein temps d'au moins 5 ans dans des postes ou des fonctions dédiées à l'analyse, ou à l'évaluation, ou à la mise en œuvre de la réglementation applicable à la protection des données à caractère personnel.
			Note : s'agissant des compétences des concepteurs et des formateurs, les critères d'expérience professionnelle (C22), de formation ou de validation d'acquis d'expérience (C23), d'expérience pédagogique (C24) et d'entretien des connaissances (C25) sont cumulatifs : le prestataire doit être en capacité de démontrer que ces critères sont individuellement respectés pour chacun de ces intervenants.
			C24. Le prestataire s'assure que les concepteurs et les formateurs :
			- ont conçu ou animé une formation diplômante ; ou
			- ont conçu ou animé une formation réalisée par un prestataire certifié selon le présent référentiel (ou labelisée par la CNIL) ; ou
			- font l'objet d'une évaluation de leurs aptitudes pédagogiques à l'occasion de leur première intervention dans le cadre d'une formation à la protection des données.
			C25. Le prestataire s'assure que les concepteurs et formateurs entretiennent leurs connaissances en matière de protection des données.
C26. Le prestataire fixe les critères permettant d'identifier les compétences des concepteurs et formateurs en matière de protection des données à caractère personnel dans les secteurs spécifiques, pour les thématiques particulières ou les types particuliers d'opérations de traitement pour lesquels il souhaite répondre aux besoins de formation.
8. Exigences relatives au recueil des appréciations et la prise en compte des réclamations
			C27. Le prestataire définit et met en place une procédure pour recueillir et traiter le retour des apprenants, sur les ressources mobilisées (documentaires et humaines) ainsi que sur la capacité de la formation à répondre à leurs besoins et aux objectifs identifiés.
			C28. Le prestataire définit et met en place une procédure destinée à recueillir et traiter les réclamations concernant l'activité de formation à la protection des données à caractère personnel.
			Le prestataire accuse réception des réclamations. Il répond aux demandeurs et tient les plaignants informés de la conclusion du traitement de leur réclamation dans un délai maximum de 2 mois à compter de la date de réception de leur envoi et les informe, au cours de cette période, de l'évolution du traitement de leur demande ou de leur réclamation.
Lorsque le traitement de la réclamation est complexe, ce délai peut être prolongé. Dans ce cas, le prestataire informe le plaignant du délai supplémentaire au terme duquel une réponse lui sera transmise et des motifs qui justifient ce délai supplémentaire. Il informe le plaignant de cette prolongation dans le mois suivant réception de la réclamation.
			C29. Le prestataire désigne une personne chargée de faire office de point de contact pour la CNIL sur les questions relatives à la certification.
IV. - Annexe 1 : Référentiel général d'aptitudes et de compétences
1. La protection des données, ses notions clés et ses acteurs
			AC01. La formation permet de connaître et de comprendre les notions de :
			- Données à caractère personnel ;
			- Catégories particulières de données à caractère personnel ;
			- Données relatives aux condamnations pénales et aux infractions ;
			- Traitement de données à caractère personnel ;
			- Fichier ;
			- Responsable de traitement ;
			- Sous-traitant ;
			- Destinataire ;
			- Tiers autorisé ;
			- Droits des personnes ;
			- Profilage ;
			- Anonymisation ;
			- Pseudonymisation ;
			- Authentification ;
			- Habilitation ;
			- Journalisation ;
			- Archivage ;
			- Chiffrement.
			AC02. La formation permet d'identifier les traitements de données à caractère personnel.
AC03. La formation permet de connaître et de comprendre les principes permettant qualifier les parties prenantes à un traitement (responsables de traitement, les responsables conjoints, les sous-traitants, destinataires).
			AC04. La formation permet de connaître et de comprendre les différentes missions des autorités de contrôle et du Comité européen de la protection des données.
			AC05. La formation permet de connaître et de comprendre le champ d'application matériel et territorial du règlement européen de la protection des données.
			AC06. La formation permet de connaître et de comprendre l'articulation entre les textes relatifs à la protection des données et les autres sources de droit.
			AC07. La formation permet de connaître et de comprendre les principes applicables aux transferts de données hors de l'Union européenne et de l'Espace économique européen (EEE).
			AC08. La formation permet d'identifier l'existence de transferts hors de l'Union européenne et de connaître les différents instruments juridiques permettant de les encadrer.
2. Les principes de la protection des données
			AC09. La formation permet de connaître et de comprendre les conditions de licéité d'un traitement.
			AC10. La formation permet de connaître et de comprendre les conditions applicables au consentement.
			AC11. La formation permet de connaître et de comprendre le principe finalité et d'identifier un détournement de finalités.
AC12. La formation permet de connaître et de comprendre le principe de proportionnalité et de pertinence des données.
			AC13. La formation permet de connaître et de comprendre les conditions applicables aux traitements portant sur des catégories particulières de données.
			AC14. La formation permet de connaître et de comprendre le principe de durée de conservation des données.
			AC15. La formation permet de connaître et de comprendre les principes de sécurité et de confidentialité des données et permet de qualifier un incident de sécurité en violation de données à caractère personnel.
			AC16. La formation permet de connaître et de comprendre le principe de transparence des informations et des communications avec les personnes concernées par un traitement.
			AC17. La formation permet de connaître et de comprendre les droits dont disposent les personnes concernées ainsi que leurs modalités d'exercice :
			- le droit d'accès ;
			- le droit de rectification ;
			- le droit à l'effacement ;
			- le droit à la limitation du traitement ;
			- le droit à la portabilité ;
			- le droit d'opposition.
			AC18. La formation permet de connaître et de comprendre le principe d'exactitude des données.
3. Les responsabilités des acteurs
AC19. La formation permet de connaître et de comprendre le principe de responsabilité ( accountability /redevabilité) et les mesures organisationnelles, règles internes et outils de la conformité permettant de s'assurer et de démontrer que les règles relatives à la protection des données sont respectées.
			AC20. La formation permet d'identifier des mesures de protection des données dès la conception et par défaut.
			AC21. La formation permet de connaître et de comprendre les obligations incombant aux responsables de traitement et le principe de responsabilité conjointe.
			AC22. La formation permet de connaître et de comprendre les obligations incombant aux sous-traitants.
4. Le DPO et les outils de la conformité
			AC23. La formation permet de connaître et de comprendre la méthodologie de l'analyse d'impact relative à la protection des données.
			AC24. La formation permet de connaître et de comprendre les fonctions et missions du délégué à la protection des données.
			AC25. La formation permet de comprendre le contenu du registre d'activités de traitement (responsable de traitement), du registre des catégories d'activités de traitement (sous-traitant) et du registre des violations de données.
			AC26. La formation permet de connaître et de comprendre les garanties apportées par les codes de conduite et les mécanismes de certification lorsqu'ils sont approuvés par une autorité ou par le Comité européen de la protection des données.
5. Sources de veille
AC27. La formation permet de connaître les moyens permettant de s'informer sur l'actualité et la jurisprudence en matière de protection des données.
			AC28. La formation permet de connaître les moyens permettant de s'informer sur l'état de l'art en matière de sécurité de l'information.
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des armées d'une demande d'avis concernant un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé FL@sh EVENT relatif au signalement d'évènements graves ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu le code de la défense, notamment ses articles R.* 1142-1 et R.* 3111-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 6-III ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et M. Benjamin TOUZANNE commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie par la ministre des armées d’une demande d’avis relative à un projet de décret en Conseil d’Etat portant création d’un traitement automatisé de données à caractère personnel dénommé FL@sh EVENT relatif au signalement d’évènements graves lesquels ont été fixés par une instruction ministérielle.
Ce traitement doit permettre de porter à la connaissance de plusieurs services du ministère des armées et, le cas échéant, du ministre, tout événement grave mettant en cause, comme victime ou auteur, un personnel militaire ou civil dans une affaire susceptible d’emporter des conséquences aux plans disciplinaire, pénal ou médiatique. La Commission relève ainsi d’emblée le périmètre particulièrement large du dispositif envisagé, lequel doit dès lors faire l’objet de conditions de mise en œuvre strictement définies et être entouré de garanties satisfaisantes.
La Commission relève que le traitement FL@sh EVENT est mis en œuvre uniquement à des fins d’information du ministre, des états-majors, directions et services du ministère de la survenance de ces évènements (outil visant à assurer la remontée d’informations) et n’a pas pour but d’organiser l’instruction d’éventuelles suites disciplinaires ou judiciaires données à ces événements et réalisées par l’intermédiaire d’autres traitements. A cet égard, elle relève que plusieurs garanties sont prévues, parmi lesquelles l’absence de mise en relation avec d’autres traitements de données à caractère personnel. 
Compte tenu des finalités poursuivies par le traitement FL@sh EVENT ainsi que des précisions apportées par le ministère, la Commission estime qu’il y 
a lieu de faire application des dispositions du RGPD.
 Elle relève par ailleurs que le ministère entend se prévaloir du fondement légal de l’exécution d’une mission d’intérêt public, conformément à l’article 6.1.e du RGPD.
Dans la mesure où des données mentionnées au I de l’article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée susvisée (données sensibles à l’exclusion des données génétiques et biométriques) sont susceptibles d’être enregistrées dans le traitement Fl@sh EVENT , le ministère considère que sa création doit fait l’objet d’un décret en Conseil d’Etat pris après avis motivé et publié de la Commission, conformément à l’article 6-III de cette même loi. La Commission relève qu’en l’état, le décret prévoit non seulement la transmission des comptes-rendus d’événements, mais en outre la constitution d’un fichier conservant systématiquement ces comptes-rendus pour une période de cinq ans. 
Sur le fonctionnement du traitement FL@sh EVENT et les finalités poursuivies 
L’article 1er du projet de décret précise que le traitement a uniquement pour finalité de porter à la connaissance des états-majors, directions et services du ministère et, le cas échéant, du ministre de la défense, la survenance d’événements graves . Ce même article précise que les événements graves susceptibles de faire l’objet d’un signalement sont ceux mettant en cause, comme victime ou auteur, un personnel militaire ou civil dans une affaire susceptible d’avoir des conséquences au plan disciplinaire, pénal ou médiatique ou portant une atteinte grave au domaine et aux biens du ministre ou des établissements publics qui en dépendent .
La Commission relève ainsi que le traitement mis en œuvre concerne les faits survenus au sein du ministère des armées ou des établissements publics qui en dépendent ainsi que tous ceux qui pourraient être associés à ce ministère sans l’impliquer directement. Elle prend ainsi acte de ce que sont susceptibles d’être concernés les événements dont l’auteur ou la victime est un membre de forces militaires étrangères en transit sur le territoire national ou un civil dans le cadre d’un événement ayant eu lieu dans une emprise militaire (tel que le survol d’un drone). 
La Commission prend acte des précisions apportées par le ministère selon lesquelles le traitement constitue une procédure de compte-rendu immédiat et de simple information des hautes autorités précitées à des fins de communication (jusqu’à la communication de crise) et vise, ainsi, à se substituer aux messageries d’autorité utilisées au sein du ministère des armées. Elle relève toutefois qu’une telle précision n’apparaît pas dans le projet de décret et estime que l’article 1er devrait être modifié afin d’expliciter la finalité poursuivie par la remontée d’informations opérée au travers du traitement FL@sh EVENT . Une telle précision contribuerait à écarter toute ambiguïté notamment quant à l’utilisation des informations contenues dans ce traitement à des fins de poursuites éventuelles (disciplinaires et judiciaires).