AgentPublic/cnil huggingface dataset:
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi susvisée, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 9-1°, et de l’article 25-I-3° de la loi informatique et libertés, qui soumet à autorisation les traitements comportant des données relatives aux infractions.
Sur les destinataires
Les membres de la commission d’agrément du Conseil départemental de la Charente-Maritime mentionnés à l’article R. 225-9 du code de l’action sociale et des familles, ont accès à l’ensemble des informations mentionnées ci-dessus, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître.
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et le droit d’accès 
Les personnes sont informées, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004 par des mentions légales figurant sur les formulaires de demande d’agrément, et qui sont complétés lors des demandes initiales et des renouvellements des agréments (« dossier de demande d’agrément en vue d’adoption »).
La Commission considère que ces modalités d’information sont satisfaisantes.
Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi susvisée s’exercent auprès du Correspondant informatique et libertés du Conseil départemental de la Charente-Maritime.
Dans la mesure où le présent traitement répond à une obligation légale prévue aux articles L. 225-2 et suivants du code de l’action sociale et des familles, le droit d’opposition est écarté, conformément aux dispositions de l’article 38 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur la durée du traitement
Les données sont conservées en base active le temps de la gestion des demandes et des renouvellements des agréments relatifs à l’adoption, à l’exception des données relatives aux infractions (bulletins n° 2 et n° 3 du casier judiciaire) qui sont conservées trois mois en base active, et sont ensuite supprimées de manière sécurisée.
Elles font ensuite l’objet d’un archivage intermédiaire pour une durée de six ans à compter de la date de l’obtention de l’agrément ou à compter de la date de l’interruption de la procédure conformément aux dispositions de la circulaire AD 98-6 du 6 juillet 1998.
A l’expiration de cette période, les données sont détruites de manière sécurisée.
Certains dossiers sont conservés de manière définitive à des fins d’archivage patrimonial par la direction des archives départementales, conformément aux dispositions du code du patrimoine.
Lorsqu’il existe un recours contre un tiers ou un contentieux, les données sont conservées jusqu’à l’intervention de la décision définitive.
La Commission considère que ces durées de conservation sont pertinentes au regard des finalités poursuivies.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs sont spécifiés et documentés de manière détaillée, et prennent en compte les accès différenciés aux informations en fonction du besoin d’en connaître.
La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement.
L’authentification des utilisateurs du traitement est assurée par l’utilisation des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des majuscules, des chiffres et des caractères spéciaux lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La Commission rappelle qu’elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux, et lever les alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, le Conseil départemental de la Charente-Maritime à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le Centre des liaisons européennes et internationales de Sécurité sociale  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une plateforme d’échanges d’informations en matière de lutte contre le travail illégal ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (CE) n° 883/2004 du Parlement Européen et du Conseil du 29 avril 2004 portant sur la coordination des systèmes de sécurité sociale ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la Sécurité sociale, notamment ses articles L. 767-1 et R. 767-1 et suivants ;
Vu le code du travail, notamment ses articles L. 8271-1-2, L. 8271-2 et L. 8271-5-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le traitement est mis en œuvre par le Centre des liaisons européennes et internationales de Sécurité sociale (Cleiss) qui est un établissement public à caractère administratif, placé sous la tutelle du ministre chargé de la Sécurité sociale et du ministre chargé du budget. 
Le Cleiss a pour mission principale d’assurer la liaison, d’une part, entre les organismes français de Sécurité sociale et les organismes étrangers de Sécurité sociale (sous réserve de l’article L. 221-1-10° du CSS), pour permettre l'application de la règlementation européenne et des accords internationaux en matière de Sécurité sociale, et d’autre part, entre les organismes des territoires et collectivités territoriales français disposant d’une autonomie en matière de Sécurité sociale, pour assurer leur coordination. Il intervient également dans le cadre des accords dérogatoires en matière de détachement de salariés.
La loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels a créé l’article L. 8271-5-1 dans le code du travail. Cet article dispose que les agents de contrôle intervenant en matière de lutte contre le travail illégal et énumérés à l’article L. 8271-1-2 du même code, peuvent transmettre aux agents du Cleiss tous renseignements et documents utiles à l'accomplissement par ces derniers de leurs missions pour l'application des règlements et accords internationaux et européens de Sécurité sociale.
L’alinéa 2 de ce même article précise également que les agents du Cleiss peuvent transmettre à ces agents de contrôle tous renseignements et documents utiles à l'accomplissement de leur mission de lutte contre le travail illégal.
Enfin, l’article L. 8271-2 du code du travail énonce que les agents de contrôle se communiquent réciproquement tous renseignements et tous documents utiles à l'accomplissement de leur mission de lutte contre le travail illégal.
Afin de pouvoir réaliser une centralisation des données et ainsi faciliter les échanges d’informations précités, le Cleiss souhaite mettre en œuvre un traitement de données à caractère personnel.
Ce traitement, en ce qu’il intervient dans le cadre de la lutte contre le travail illégal, est susceptible de comporter des données relatives à des infractions, condamnations ou mesures de sûreté et sa mise en œuvre est soumise à autorisation de la Commission en application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée.
Sur la finalité
La plateforme a pour but de permettre aux organismes de contrôle français compétents en matière de lutte contre le travail illégal, parmi lesquels figurent les organismes de Sécurité sociale,  d’effectuer des demandes d’accès aux informations déposées et recueillies s’agissant de la situation de sociétés ou de travailleurs non-salariés identifiés lors de contrôles. 
Via cette plateforme, ces organismes pourront, dans le cadre de leurs procédures de contrôle, consulter les éléments qui auront été recueillis et mis à disposition par le Cleiss ainsi que par les différents acteurs compétents en matière de lutte contre le travail illégal.
Ont vocation à être communiqués par le biais de cette plateforme tous les documents visés par l’article L. 8271-5-1 du code du travail et notamment des actes de procédure  et les résultats des décisions de justice.
L’outil a également pour objectif de proposer un fonds documentaire comportant les arrêts de juridictions nationales, européennes et internationales, ainsi que des guides métiers et les textes nationaux, européens et internationaux relatifs à la détermination de la législation applicable en matière de sécurité sociale et à la lutte contre le travail illégal.
La Commission considère, dès lors, que les finalités du traitement sont déterminées, explicites et légitimes.
Sur les données traitées
Les données collectées dans le cadre du présent traitement  concerneront majoritairement les employeurs et les travailleurs indépendants et seront les suivantes :
Numéro de dossier fourni par le Cleiss;
Personne en charge du dossier au sein du Cleiss ;
Organisme demandeur (corps de contrôle ou Cleiss) avec les coordonnées téléphoniques et électroniques ;
Coordonnées de l’interlocuteur ;
Date de la demande ;
Société d’accueil ainsi que le pays ;
Société d’envoi ainsi que le pays ;
Identité du dirigeant ou du travailleur indépendant ;
Domaine d’activité ;
Actions du Cleiss (dates, réponse, organismes saisis par le Cleiss) ;
Suites données à la procédure avec un choix fermé : enquête, procédure judiciaire, pénale et/ou civile en cours, close, abandon (le cas échéant, les raisons), demande de retrait de formulaires, relevé d’infraction, suite donnée à l’établissement du procès-verbal d’infraction  et si aucune suite n’a été donnée, les raisons le cas échéant ;
Mention d’une éventuelle transmission à un autre organisme de contrôle.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
Sur les destinataires
La plateforme étant un outil métier à destination des organismes de contrôle compétents en matière de lutte contre le travail illégal,  seuls les agents du Cleiss amenés à recueillir les demandes et à y répondre,  ainsi que les agents des autorités de contrôle compétentes en matière de lutte contre le travail illégal, pourront effectivement utiliser la plateforme et accéder aux données, dans le cadre de l'accomplissement de leurs missions et dans les limites du besoin d’en connaître.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.
Sur l’information et le droit d’accès
Les personnes seront informées de la mise en place du traitement via une mention d’information présente sur le site internet du Cleiss.
Chacune des autorités recueillant des informations via la plateforme et mettant en œuvre un traitement de données à caractère personnel pour les traiter, sera tenue d’informer les personnes qu’elles peuvent recueillir des informations auprès des autres organismes de contrôle ainsi qu’auprès du Cleiss.
Les personnes concernées pourront exercer leurs droits d’accès, de rectification et d’opposition pour motif légitime auprès du Cleiss par courrier postal ou courriel électronique.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission rappelle que le responsable d’un traitement de données à caractère personnel doit, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, prendre toutes les précautions utiles pour préserver la sécurité des données collectées et traitées, au regard de la nature de ces dernières et des risques présentés par le traitement, et notamment empêcher que des tiers non autorisés y aient accès par l’intermédiaire de mesures de sécurité physiques, logiques et organisationnelles.
Le traitement prend la forme d’une plateforme en ligne dont les accès sont limités et encadrés par une politique de gestion des habilitations définissant les fonctions et les types d’informations auxquels un agent peut avoir accès pour l’exercice de ses missions. L’habilitation prévoira trois types de profils : un profil administrateur, un profil contributeur et un profil consultation qui permettra respectivement un accès en lecture, écriture et configuration de l’outil, un accès en lecture et écriture et un accès en lecture seulement.
Le Cleiss n’ouvrira de compte contributeurs qu’à un nombre limité de personnes que sont ses interlocuteurs en matière de lutte contre le travail illégal au niveau national, ainsi que les agents expressément désignés par les autorités nationales de lutte contre le travail illégal. 
Les titulaires de compte contributeurs pourront ensuite créer des comptes en consultation aux agents de contrôle de leur circonscription, si l’accès à la plateforme s’avère nécessaire pour l’accomplissement des fonctions de ces derniers.
Le Cleiss n’ouvrira de profils administrateur qu’à certains agents nommément désignés par le directeur du Cleiss.
L’accès à la plateforme sera encadré par le couplage d’un identifiant et d’un mot de passe qui devront respecter les exigences posées par la Commission dans la  délibération du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe.
Cette plateforme est hébergée sur un serveur interne au Cleiss.
Les échanges de données s’effectueront via un canal chiffré TLS.
Un mécanisme de journalisation des accès à l’application et des opérations effectuées permet de détecter d’éventuels accès ou opérations non souhaités ou interdits, avec une conservation des « logs » de journalisation qui ne doit pas excéder la durée de six mois glissants.
Enfin, des mesures nécessaires doivent permettre d’assurer la maintenance du matériel et sa mise au rebut dans des conditions de sécurité satisfaisantes, en particulier s’agissant de l’absence de données à caractère personnel stockées dans les matériels remisés.
La Commission rappelle que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.  
Sur les autres caractéristiques du traitement
Les données échangées seront conservées sur la plateforme pendant la durée de la procédure justifiant la communication des informations et jusqu’à l’expiration des voies de recours.
A la clôture du dossier et durant cinq années, les données feront l’objet d’une fiche synthétique récapitulative qui sera consultable sur la plateforme par les corps de contrôle. Les documents déposés par les différents corps de contrôle seront supprimés de la plateforme à l’issue de la procédure.
Autorise, conformément à la présente délibération, le Centre des liaisons européennes et internationales de Sécurité sociale à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental du Jura d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des demandes et renouvellements des agréments des assistants maternels ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 421-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu la loi n° 2005-706 du 27 juin 2005 relative aux assistants maternels et aux assistants familiaux ;
Vu la loi n° 2010-625 du 9 juin 2010 relative à la création des maisons d’assistants maternels et portant diverses dispositions relatives aux assistants maternels ;
Vu la loi n° 2016-457 du 14 avril 2016 relative à l’information de l’administration par l’autorité judiciaire et à la protection des mineurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2006-1153 du 14 septembre 2006 relatif à l’agrément des assistants maternels et des assistants familiaux et modifiant le code de l’action sociale et des familles (partie réglementaire) ;
Vu le décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels ; 
Vu l’arrêté du 18 octobre 2016 fixant le modèle de formulaire en vue de l’agrément des assistants maternels et la composition du dossier de demande d’agrément ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Conseil départemental du Jura.
Sur la finalité
Le traitement de données à caractère personnel a pour finalités :
la gestion des demandes des agréments des assistants maternels ;
le renouvellement des agréments des assistants maternels.
L’article L. 421-3 du code de l’action sociale et des familles prévoit que l’agrément nécessaire pour exercer la profession d’assistant maternel est délivré par le président du Conseil départemental du département où le demandeur réside.
Un référentiel approuvé par décret en Conseil d’Etat fixe les critères d’agrément des assistants maternels (le décret n° 2012-364 du 15 mars 2012 relatif au référentiel fixant les critères d’agrément des assistants maternels).
L’agrément est accordé à cette profession si les conditions d’accueil garantissent la sécurité, la santé et l’épanouissement des mineurs et majeurs de moins de vingt et un ans accueillis, en tenant compte des aptitudes éducatives de la personne.
La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
Les données collectées auprès des assistants maternels sont prévues par un arrêté du 18 octobre 2016 fixant le modèle de formulaire en vue de l’agrément des assistants maternels et la composition du dossier de demande d’agrément.
En outre, sont également collectées les données relatives aux infractions, condamnations et mesures de sûreté (extrait du bulletin n°2 du casier judiciaire), conformément aux dispositions de l’article L. 421-3 du code de l’action sociale et des familles.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée en août 2004, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 9-1 et 25-I-3° de la loi du 6 janvier 1978 modifiée en août 2004, qui soumettent à autorisation les traitements comportant des données relatives aux infractions.
Sur les destinataires
Les services en charge de l’instruction de l’agrément des assistants maternels au sein du Conseil départemental du Jura ont accès à l’ensemble des informations mentionnées ci-dessus, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître.
Sont destinataires des informations relatives à l’identité de la personne (nom, prénoms, adresse, date et lieu de naissance, courriel, numéro de téléphone), à raison de leurs attributions respectives et dans la limite du besoin d’en connaître, les personnels de la caisse d’allocations familiales (CAF), de la sécurité sociale agricole (MSA) et de PAJEMPLOI, conformément aux dispositions de l’article L. 421-9 du code de l’action sociale et des familles. 
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et les droits des personnes
Les personnes sont informées, conformément aux dispositions de l’article 32 de la loi Informatique et Libertés, par :
des mentions légales figurant sur le formulaire de demande d’agrément d’assistant maternel qui est complété lors de la demande initiale et du renouvellement de l’agrément (Cerfa n° 13394*4) ;
des mentions légales figurant sur le courrier de notification de l’obtention de l’agrément.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’accès et de rectification prévus aux articles 39 et 40 de la loi susvisée s’exercent auprès du pôle des services sociaux du Conseil départemental du Jura.
Dans la mesure où le présent traitement répond à une obligation légale prévue à l’article L. 421-3 du code de l’action sociale et des familles, le droit d’opposition est écarté, conformément aux dispositions de l’article 38 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation
Les données sont conservées en base active le temps de la gestion des demandes et renouvellements des agréments des assistants maternels, à l’exception des données relatives aux infractions, condamnations et mesures de sûreté (extrait du bulletin n° 2 du casier judiciaire) qui sont conservées trois mois en base active, et sont ensuite supprimées de manière sécurisée.
Elles font ensuite l’objet d’un archivage intermédiaire pour une durée de deux ans à compter de la date de la cessation d’activité de l’assistant maternel.