AgentPublic/cnil huggingface dataset:
Sur les dispositions du projet de décret en Conseil d’Etat relatif aux modifications du calendrier de mise en œuvre du droit des assurés à l’information sur leur retraite,  à la collecte, à l’échange et à la conservation de données pour la mise en œuvre des prestations créées par l’article 6 de la loi n°2010-1330 du 9 novembre 2010 portant réforme des retraites et modifiant le décret n°2006-708 du 19 juin 2006 et le  code de la Sécurité sociale
La Commission relève qu’il s’agit essentiellement de reporter l’envoi des estimations globales (EIG), compte tenu des délais d’examen de la loi du 9 novembre 2010 précitée et de la complexité technique de ces EIG dont certains sont destinées aux catégories de la fonction publique.
Les assurés des générations 1954 à 1955, qui auraient dû les recevoir en 2010, recevront leurs EIG en 2011. 
Ceux dont une ou plusieurs pensions peut être liquidée avant l’âge légal de départ à la retraite en vigueur au régime général (60 à 62 ans selon la génération) recevront à partir de 2013 leurs EIG et non en 2012 comme prévu initialement.
Le projet de décret élargit le champ d’application des dispositions relatives à la collecte, à la conservation et à l’échange de données aux nouvelles prestations du droit à l’information sur la retraite créées par la loi du 9 novembre 2010 (les quatre nouveaux droits précités).
Enfin, le projet de décret prévoit la collecte de nouvelles données : la date à laquelle a été communiquée à la personne concernée l’information générale sur le système de retraite par répartition et la date à laquelle elle a demandé à bénéficier d’un ou plusieurs entretiens sur les perspectives d’évolution de leurs droit à pension, ainsi que la date à laquelle elle en a bénéficié.
La Commission considère que ces données sont légitimes et proportionnées par rapport à la finalité poursuivie.
Sur les dispositions du projet de décret relatif à la mise en œuvre des prestations du droit à l’information sur la retraite créées par l’article 6 de la loi n°2010-1330 du 9 novembre 2010 portant réforme des retraites
Le projet de décret précise les conditions de mise en œuvre des deux dispositifs du droit à l’information des assurées sur leur retraite créés par l’article 6 de la loi du 9 novembre 2010 portant réforme des retraites, à savoir : l’information destinées aux assurés débutants leur carrière professionnelle (« primo-validants ») et l’entretien proposé aux assurés à partir de 45 ans.
Il prévoit également l’amélioration des outils mis à disposition de l’assuré sur Internet afin de permettre aux assurés d’avoir accès à leurs relevés individuels de situation (RIS). En effet, ce relevé récapitule l’ensemble des trimestres et des points acquis par un assuré auprès des organismes de retraite, sera accessible en ligne dès 2012 au régime général et dans la fonction publique, et devra l’être dans tous les autres régimes en 2013.
Les assurés pourront également réaliser des simulations en ligne sur leurs pensions de retraite. Dans ce cadre, un simulateur en ligne sera mis en place d’ici 2014, à partir des données réelles, alors qu’aujourd’hui l’outil M@rel du GIP Info retraite, et les outils développés par le secteur privé, nécessitent d’introduire soi-même ses données de carrière.
Ces améliorations n’appellent pas d’observation de la part de la Commission, si ce n’est que les traitements mis en œuvre aux fins de mise à disposition de ces télé services aux bénéficiaires assurés devront faire l’objet de demandes d’avis conformément à l’article 27 II 4° de la loi du 6 janvier 1978 modifiée.
Le Président
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-8° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Sur le rapport de M. Emmanuel de GIVRY, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
En application de l’article 25-I-8° de la loi du 6 janvier 1978 modifiée en août 2004, la Commission est saisie par la société GROUPE MIT d’un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès à sa salle informatique.
Formule les observations suivantes :
La société GROUPE MIT est un centre de traitements de données. Elle souhaite utiliser un dispositif biométrique reposant sur un système d’authentification par empreinte digitale pour contrôler l’accès à sa salle informatique dans laquelle se trouvent des serveurs de données. 
Les salariés et les clients de la société autorisés à accéder à la salle informatique doivent apposer leur doigt sur le terminal de lecture-comparaison dans lequel sont enregistrées leurs données biométriques. 
D’une manière générale, la Commission observe qu’une donnée biométrique constitue un élément d’identité irrévocable dont la diffusion non maîtrisée, ou accidentelle, peut avoir des conséquences irrémédiables pour les personnes. En effet, à la différence de tout autre identifiant (code, mot de passe, etc.) la donnée biométrique ne peut être modifée une fois collectée.
Ainsi, parce que l’empreinte digitale constitue une « trace » laissée en abondance par les personnes à leur insu, la Commission rappelle que sa captation frauduleuse, désormais aisée en l’état des techniques, exige que son utilisation soit limitée et encadrée afin d’empêcher que l’exemplaire de l’empreinte récupéré ne puisse être utilisé pour :
procéder à l’identification d’une personne à son insu par rapprochement avec un fichier nominatif d’empreintes digitales ;
usurper l’identité d’une personne, par exemple pour frauder un dispositif reposant sur la reconnaissance de l’empreinte digitale.
La Commission considère également que la constitution de bases de données d'empreintes digitales ne peut être admise que dans certaines circonstances particulières où l'exigence d'identification des personnes résulte d’un fort impératif de sécurité, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. En effet, cet article dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
A cet égard, la Commission observe que le dispositif destiné au contrôle de l’accès aux salles informatiques n’a pas pour objet de sécuriser l’accès à une zone représentant un enjeu majeur dépassant l’intérêt strict de l’organisme concerné. 
La Commission relève que cet objectif pourrait être atteint, par exemple, via un système reposant sur un badge, ou via des dispositifs reposant sur la reconnaissance d’autres données biométriques telles que le contour de la main ou le réseau veineux du doigt de la main qui, en l’état actuel de la technique, ne sont pas susceptibles d’être capturées à l’insu des personnes et dès lors, ne comportent pas de risques particuliers pour les libertés et les droits fondamentaux des personnes.
En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné du point de vue de la protection des données personnelles.
Dès lors, la Commission n’autorise pas, en l’état, la société GROUPE MIT  – 143 RUE EMILE JULIEN, 34070 MONTPELLIER – à mettre en œuvre un traitement de données à caractère personnel reposant sur l’utilisation d’un dispositif biométrique de reconnaissance des empreintes digitales et dont la finalité est le contrôle de l’accès à la salle informatique.
Le Président
Alex TURK
(Demande d’autorisation n° 1521872)
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 modifiée en 2007;
Vu la demande d’autorisation de la société SCHNEIDER ELECTRIC INDUSTRIES et ses compléments relative à un traitement de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité le contrôle de l’accès à une salle de laboratoire de physique des matériaux ;
Après avoir entendu Monsieur Emmanuel de GIVRY, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Le dispositif présenté par la société SCHNEIDER ELECTRIC INDUSTRIES, spécialisée dans la gestion d’énergie a pour objet de renforcer le contrôle de l’accès à une salle de laboratoire de physique des matériaux située à L'ISLE D'ESPAGNAC. Dans ce laboratoire, des équipements et des produits chimiques dangereux (acide, résines) sont stockés et leur usage est réservé à un personnel qualifié et habilité.
Le dispositif reposera sur un bouton biométrique situé au point d’accès à la zone protégée. Il s’agit d’un boîtier autonome, qui n’est relié à aucun réseau informatique. L’enrôlement des personnes s’effectue à partir de ce seul boîtier équipé d’un lecteur qui permet également l’enregistrement des gabarits. Seuls les gabarits de deux empreintes digitales des employés habilités à pénétrer dans la salle de laboratoire de physique des matériaux seront enregistrés dans le boîtier. Une fois enregistrées, les gabarits ne seront accessibles à aucun personnel.
Le dispositif n'associe pas au gabarit l’identité de la personne et ne permet donc pas de conserver d’historique des passages. 
Les gabarits des empreintes digitales seront conservés tant que la personne sera habilitée à pénétrer dans le laboratoire Les personnes seront informées lors de leur enrôlement par la remise d’un document ainsi que par voie d’affichage. Les représentants du personnel seront préalablement consultés.
Compte tenu du fort impératif de sécurité lié à la nécessité de contrôler l’accès à un laboratoire contenant des produits dangereux ainsi qu’au regard des garanties de sécurité apportées par le dispositif choisi, le traitement soumis à la Commission est adapté et proportionné à la finalité assignée au dispositif au regard de la protection des données personnelles.
Les droits d’accès et de rectification s’exerceront auprès du LABORATOIRE L'ISLE D'ESPAGNAC - SCHNEIDER ELECTRIC INDUSTRIES SAS - ZONE INDUSTRIELLE BP 660 – 16340 L'ISLE D'ESPAGNAC
Les catégories de données à caractère personnel enregistrées seront les gabarits des empreintes digitales
La Commission autorise dans ces conditions la société SCHNEIDER ELECTRIC INDUSTRIES à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
La formation restreinte de la Commission nationale de l'informatique et des libertés, réunie sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents MM. Jean-Marie COTTERET, Claude DOMEIZEL et Sébastien HUYGHE, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la délibération n° 2008-158 du 29 mai 2008 portant mise en demeure à l'encontre de l'association X ; 
Vu le rapport de M. Philippe GOSSELIN, commissaire rapporteur, notifié par huissier à la l'association X, le 1er juin 2011 ; 
Vu les autres pièces du dossier ; 
Après avoir entendu, lors de sa séance du 12 juillet 2011 : 
- M. Philippe GOSSELIN, commissaire, en son rapport ;- Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
M. A, président de l'association, éditeur du site litigieux, n'ayant pas réagi à la notification par huissier du rapport, le 1er juin 2011, et ne s'étant pas présenté à l'audience en dépit d'une notification d'avis d'audience par huissier, le 6 juillet 2011 ; 
I. FAITS ET PROCEDURE
L'association X (ci-après "l'association"), qui indique œuvrer en faveur de la numérisation à la source des décisions de jurisprudence rendues par les juridictions françaises, met en ligne une banque de données de décisions de jurisprudence, accessible à l'adresse [...]. 
La Commission nationale de l'informatique et des libertés (ci-après la "Commission" ou la "CNIL") a été saisie de plusieurs plaintes par des personnes concernées par des décisions de jurisprudence diffusées sur ce site internet. L'instruction de ces plaintes a révélé que le président de l'association mise en cause n'avait pas répondu aux demandes formées par ces personnes afin que soit respecté leur droit d'opposition à figurer dans ce traitement, et que cette diffusion leur causait, ou était susceptible de leur causer de graves préjudices.
En l'absence de réponse de l'association aux demandes de la CNIL, et au vu de ce qui précède, la Commission a mis l'association en demeure, le 29 mai 2008, de procéder à l'anonymisation des décisions de justice litigieuses, de l'informer des raisons pour lesquelles l'association n'avait pas répondu aux divers courriers qui lui avaient été adressés, de lui communiquer l'intégralité des procédures mises en œuvre afin de respecter les droits des personnes garantis par la loi du 6 janvier 1978 modifiée, et de justifier du respect de l'ensemble des demandes précitées dans le délai imparti de deux mois. 
L'association X n'a répondu à cette mise en demeure que le 21 mars 2009, après plusieurs relances infructueuses. Dans son courrier de réponse, l'association indiquait avoir pris un certain nombre de mesures visant à réduire l'occurrence de mentions nominatives désignant les parties dans les décisions produites, à réduire l'impact d'une éventuelle omission involontaire sur une personne concernée et à garantir un droit de suppression effectif. Toutefois, la Commission a constaté que, malgré ses dires, des décisions nominatives signalées par des plaignants restaient accessibles sur le site [...]. 
Sur la foi de ces constats, et au vu de la gravité des faits relatés dans les plaintes susmentionnées, le Président de la Commission a décidé d'initier des poursuites à l'encontre de l'association sur le fondement du I de l'article 45 de la loi du 6 janvier 1978.
Dans le cadre de cette procédure, le rapport de Monsieur Philippe GOSSELIN, membre de la CNIL, rapporteur, proposant à la formation restreinte de la Commission de prononcer à l'encontre de l'association une sanction pécuniaire de 4000 euros et d'enjoindre à cette association de cesser le traitement en cause, a été notifié par huissier à son président le 1er juin 2011. L'association n'a formulé aucune observation écrite à la réception de ce rapport. 
Un courrier de convocation à la séance de la formation restreinte du 12 juillet a été notifié par huissier au président de l'association, le 6 juillet 2001, l'informant de l'inscription de son dossier à l'ordre du jour. Ce dernier n'a pas réagi à ce courrier et ne s'est pas présenté le jour de l'audience. 
II. MOTIFS DE LA DECISION
- Sur le manquement de l'association X à l'obligation de respecter le droit d'opposition des personnes
La formation restreinte rappelle, au préalable, que la Commission a adopté une importante recommandation sur la diffusion de données personnelles sur Internet par les banques de données de jurisprudence le 29 novembre 2001.
Afin de concilier le caractère public d'une décision de justice et donc sa libre accessibilité sur Internet et le droit à l'oubli, la CNIL y préconisait que le nom et l'adresse des personnes ayant été parties à un procès soient anonymisés. Cette réflexion était guidée par la volonté de prévenir que des bases de jurisprudence se transforment en véritables fichiers de renseignements sur les personnes citées dans des décisions de justice, notamment par l'utilisation des moteurs de recherche. Sensibles à ces préoccupations, les plus grands organismes éditeurs de jurisprudence, notamment le site Internet Légifrance, service public de la diffusion du droit par l'internet, ont mis en œuvre ces préconisations, en anonymisant les décisions mises en ligne. 
De manière corollaire, cette même recommandation rappelle que l'absence d'occultation du nom des parties ou témoins sur les décisions de justice implique de respecter les dispositions de la loi du 6 janvier 1978 modifiée relatives aux droits des personnes, et tout particulièrement celles relatives au droit reconnu à toute personne de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement.
Les faits de l'affaire illustrent avec netteté la pertinence et l'actualité de ces développements. En effet, les différentes plaintes parvenues à la CNIL dans cette affaire démontrent l'impact réel, parfois dramatique, de la diffusion de décisions nominatives sur le site litigieux sur les vies personnelles et professionnelles des personnes concernées. 
L'association X a indiqué vouloir accéder aux demandes de la CNIL dans ces dossiers, allant jusqu'à soutenir qu'elle considérait les demandes visant à la suppression des données nominatives comme légitimes, urgentes, et qu'à ce titre elle les traitait avec diligence. Elle a également indiqué avoir mis en œuvre un certain nombre de mesures afin de faire droit aux demandes visant à la suppression de mentions nominatives dans les décisions de justice accessibles sur son site internet. 
Cependant, malgré ces dires, la Commission a constaté que des décisions comportant les noms de personnes identifiées étaient toujours diffusées sur le site à cette date ; elle a, en outre, continué de recevoir des plaintes montrant que les systèmes prétendument mis en place étaient inefficaces, ou à tout le moins insuffisants.
Dans ces conditions, la formation restreinte constate que l'association a manqué à son obligation de respecter le droit d'opposition formulé par les différents plaignants, tel que garanti par l'article 38 de la loi du 6 janvier 1978 modifiée, contredisant ainsi les termes de la mise en demeure lui ayant été adressée le 29 mai 2008. 
- Sur l'absence de réponse aux demandes de la CNIL
Il est établi, en outre, que l'association n'a fait preuve d'aucune diligence pour répondre aux demandes formulées par la CNIL, qu'il s'agisse de l'instruction des plaintes reçues de personnes souhaitant exercer leur droit d'opposition ou de demandes générales formulées par la Commission, laissant nombre de courriers de la Commission sans réponse. 
La formation restreinte relève à cet égard qu'il a fallu trois notifications et un délai de huit mois pour que la CNIL obtienne une réponse à sa mise en demeure du 29 mai 2008 - réponse qui, au demeurant, ne s'est pas avérée satisfaisante. 
De plus, il est établi que l'association ne s'est jamais manifestée après avoir reçu la demande complémentaire adressée par la CNIL le 23 novembre 2009, ni après sa relance par voie recommandée du 27 janvier 2010, revenue NPAI. 
Enfin, les trois tentatives d'audition sur convocation se sont révélées infructueuses, les convocations ayant été retournées à la CNIL avec les mentions "non réclamé" ou "boîte non identifiable".
Or l'adresse à laquelle ces courriers ont été adressés est bel et bien correcte, puisque l'en-tête du courrier finalement adressé par l'association à la CNIL, le 21 mars 2009, comportait l'adresse à laquelle tous ont été adressés, antérieurement ou postérieurement. 
En outre, malgré tous les efforts faits par la CNIL pour obtenir des compléments d'information et des éléments lui permettant d'apprécier les réponses fournies par l'association X dans sa lettre du 21 mars, lesquelles étaient contredites par les plaintes qui parvenaient régulièrement à la CNIL, toutes ces demandes sont restées lettre morte. 
La formation restreinte estime, dans ces conditions, que l'association a agi volontairement de manière à ne pas se soumettre aux demandes de la CNIL. Ce faisant, elle a violé les dispositions de l'article 21 de la loi susvisée, qui met à la charge des responsables de traitement l'obligation de ne pas s'opposer à l'action de la commission ou de ses membres et, au contraire, de prendre toutes mesures utiles afin de faciliter sa tâche. Ce faisant, l'association n'a pas respecté les termes de la mise en demeure sur ce point. 
Sur les manquements constatés et la publicité de la décision
La formation restreinte estime, au vu de ce qui précède, que l'association X s'est rendue responsable de graves violations aux dispositions des articles 38 et 21 de la loi du 6 janvier 1978 modifiée, et que sa mauvaise foi est caractérisée et qu'en conséquence, il y a lieu de prononcer une sanction pécuniaire. 
En outre, elle considère que les atteintes subies par les personnes concernées par les décisions diffusées nominativement par le site X se sont révélées d'une gravité telle qu'elle justifie que soit prononcée une injonction de cesser le traitement mis en cause.
Enfin, la formation restreinte, eu égard à la nature et à la gravité des manquements commis, estime nécessaire que les personnes soient informées des droits leur étant accordés par la loi quant à la protection de leurs données à caractère personnel, et que les responsables de traitement soient mis en mesure de connaître les règles qui s'imposent à eux. De ce fait, elle décide de rendre publique sa délibération. 
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré : 
- prononce une sanction pécuniaire de 10.000 euros (dix mille euros) à l'encontre de l'association X ;
- enjoint à cette association de cesser la mise en œuvre du traitement litigieux ;
- ordonne la publication de sa décision sur le site internet de la Commission ainsi que son insertion aux frais de l'association dans les journaux suivants : le Figaro, le Monde, la Provence. 
 
 
Paris, le 30 août 2011 
La Présidente,
 
Claire DAVAL
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé  gestion des étrangers en situation irrégulière  (GESI) ;