AgentPublic/cnil huggingface dataset:
Sur l'information des personnes concernées et les droits d'accès et de rectification
L'article 4 du projet d'arrêté mentionne que les droits d'accès et de rectification, prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exerceront auprès des directions régionales de l'ASP.
La Commission relève, par ailleurs, que la demande d'avis présentée par le ministère du travail, de l'emploi et de la santé indique que l'information des personnes concernées sera assurée par une mention sur des formulaires, ainsi qu'une mention sur le site internet de la DGEFP. 
La Commission considère que les mesures prévues au titre de l'information des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève que des mesures de protection physique et logique ont été prises afin de préserver la sécurité du traitement et des données à caractère personnel. Ces mesures visent à empêcher toute utilisation détournée ou frauduleuse des données ou que des tiers non autorisés y aient accès.
Elle prend acte que le téléservice  SYLaé  fera l'objet, après sa mise en œuvre, d'un contrôle de conformité aux exigences du Référentiel Général de Sécurité (RGS), tel que défini dans l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. 
La Commission relève, par ailleurs, que l'ASP a également initié une démarche de conformité aux exigences du RGS.
La Commission observe toutefois que les sauvegardes confiées à un prestataire externe ne sont pas chiffrées. En conséquence, elle recommande de prendre des mesures de nature à garantir la confidentialité des données contenues dans ces sauvegardes.
Mis à part cette dernière remarque, la Commission considère que la sécurité du téléservice  SYLaé  n'appelle pas d'observation particulière.
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Saisie par le ministère du travail, de l'emploi et de la santé d'une demande d'avis portant sur un projet d'arrêté relatif à la création d'un téléservice de l'administration, dénommé  Service dématérialisé de l'alternance , ayant pour finalité de faciliter la conclusion et la gestion des contrats en alternance ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 2011-893 du 28 juillet 2011 pour le développement de l'alternance et la sécurisation des parcours professionnels et, notamment, son article 4 prévoyant la création d'un service dématérialisé de l'alternance ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et, notamment, son article 27-II-4° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le projet d'arrêté du ministre du travail, de l'emploi et de la santé et de la ministre auprès de ce dernier chargée de l'apprentissage et de la formation professionnelle portant autorisation de traitements automatisés de données à caractère personnel relatives au service dématérialisé de l'alternance mis à la disposition des usagers ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de Givry, Commissaire, et après avoir entendu les observations de Madame Elisabeth ROLIN, Commissaire du Gouvernement.
Émet l'avis suivant :
Sur le fondement de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère du travail, de l'emploi et de la santé d'un projet d'arrêté portant création d'un téléservice de l'administration, dénommé  Service dématérialisé de l'alternance , ayant pour finalité de faciliter la conclusion et la gestion des contrats en alternance. 
Sur la finalité du traitement 
La mise en œuvre du  Service dématérialisé de l'alternance a notamment pour objectif d'apporter une réponse aux difficultés rencontrées dans la gestion des formations en alternance et, plus particulièrement, des délais de traitement trop longs et une double saisie des données à caractère personnel transmises à ce jour en format papier par voie postale.
Le projet d'arrêté examiné par la Commission prévoit d'autoriser la mise en œuvre, par la Délégation générale à l'emploi et à la formation professionnelle (DGEFP), d'un téléservice de l'administration dénommé  Service dématérialisé de l'alternance .
L'article 1er du projet d'arrêté prévoit que ce téléservice vise à mettre à la disposition des entreprises et des particuliers un ensemble de services destinés à :
- faciliter la conclusion des contrats en alternance ;- améliorer la qualité du service rendu aux usagers ;- faciliter le traitement et la prise en charge des contrats par les organismes concernés ;- faciliter l'élaboration des traitements de données statistiques anonymes ;- mettre en cohérence les réseaux d'information existants ;- faciliter le traitement des versements des aides à l'alternance.
Plus précisément, le  Service dématérialisé de l'alternance  doit permettre de délivrer des informations quant à l'alternance et aux droits et obligations en découlant, de simuler des revenus, d'enregistrer les demandes dématérialisées de personnes souhaitant conclure un contrat en alternance, de suivre l'instruction d'une demande ainsi que la décision administrative associée et, enfin, d'assurer des liaisons dématérialisées entre l'administration et ses partenaires par l'intermédiaire d'interconnexions de fichiers.
S'agissant de ces interconnexions, la Commission observe qu'il est envisagé d'interconnecter des fichiers de la DGEFP avec ceux de l'agence centrale des organismes de sécurité sociale (ACOSS), pour calculer des cotisations et des aides dues aux employeurs, d'une part, ainsi que des fichiers de la DGEFP avec ceux de la caisse nationale d'assurance vieillesse (CNAV), pour enregistrer et valider les périodes travaillées des alternants, d'autre part.
La Commission relève qu'il est également prévu d'interconnecter des fichiers de la DGEFP avec ceux de l'association générale des institutions de retraite des cadres (AGIRC) et de l'association pour le régime de retraite complémentaire des salariés (ARCCO), afin d'enregistrer et valider les périodes travaillées des alternants.
Ces interconnexions de fichiers permettront, en outre, de remonter vers les alternants une information complète sur leurs droits à la retraite, tant pour le régime général que pour le régime complémentaire.
La Commission observe que les finalités des fichiers interconnectés, qui relèvent de plusieurs personnes morales gérant un service public, ne correspondent pas à des intérêts publics différents au sens de l'article 25-I-5° de la loi du 6 janvier 1978 modifiée.
La Commission considère que les finalités poursuivies par la mise en œuvre du téléservice dénommé  Service dématérialisé de l'alternance  sont déterminées, explicites et légitimes.
Sur les données à caractère personnel traitées
L'article 2 du projet d'arrêté précise les données à caractère personnel traitées. Il s'agit plus précisément :
- S'agissant des employeurs :o de données d'identification (nom, prénom, adresse, téléphone, fax et adresse électronique) ;o de données relatives à la vie professionnelle (dénomination, numéro de SIRET, code APE et/ou code NAF, secteur d'activité, activité principale, effectifs, régime social de l'entreprise, convention collective applicable) ;- S'agissant des bénéficiaires des contrats d'apprentissage et de professionnalisation :o de données d'identification (nom, prénom, adresse, téléphone, sexe, nationalité, date et lieu de naissance, numéro d'inscription sur la liste des demandeurs d'emploi, numéro d'inscription des personnes au répertoire national d'identification des personnes physiques) ;o de données relatives à la vie personnelle (le cas échéant : nom, prénom, adresse et qualité du tuteur ou du représentant légal) ;o de données relatives à la vie professionnelle :- intitulé de l'emploi occupé, date de début et de fin de contrat, durée hebdomadaire du travail, durée de la période d'essai, niveau et coefficient de qualification dans la convention collective, identité des signataires du contrat, date de dépôt et d'enregistrement du contrat, date de la prise de décision de l'organisme instructeur, date d'archivage du contrat, information sur l'ouverture de droits au versement des aides ou décisions d'attribution ;- nom et adresse de la caisse de retraite et de l'organisme paritaire collecteur agréé (OPCA) ;- dernière classe fréquentée, intitulé du diplôme le plus élevé,
niveau de formation actuel, situation avant l'entrée en contrat, niveau du diplôme préparé, diplôme ou titre préparé et spécialité ;- le cas échéant : reconnaissance de la qualification de travailleur handicapé, autorisation de travail sur des machines dangereuses ou d'exposition à des risques particuliers ;- durée des actions de formation d'enseignement ou d'évaluation, nom et adresse du centre de formation, nom prénom qualification et expérience professionnelle du maître d'apprentissage ou du tuteur) ;o de données relatives à la situation économique et financière (coordonnées bancaires, salaire mensuel à l'embauche, salaire mensuel pendant la période du contrat, montant des avantages en nature éventuels) ;
S'agissant du traitement du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR), la Commission prend acte que cette donnée sera uniquement utilisée pour sécuriser les échanges électroniques et les rapprochements de données réalisés entre la DGEFP, d'une part, et les organismes de sécurité sociale et de retraite concernés (ACOSS, CNAV, AGIRC, ARCCO), d'autre part.
À la lecture de l'article 4 du projet d'arrêté, la Commission relève en effet que le NIR ne peut être utilisé, dans un premier temps, que pour transmettre par flux électronique des informations relatives aux contrats en alternance à des organismes autorisés à traiter le NIR à des fins d'identification des personnes dans le cadre d'une mission de sécurité sociale et de retraite et, dans un second temps, pour sécuriser la procédure de rapprochement des données qualifiées reçues de ces organismes. 
La Commission prend acte que les autres destinataires des données du  Service dématérialisé de l'alternance , mentionnés à l'article 5 du projet d'arrêté, ne seront pas destinataires du NIR des alternants.
La Commission considère que la collecte et le traitement des données mentionnées à l'article 2 du projet d'arrêté sont légitimes, pertinents et non excessifs au regard des finalités poursuivies.
Sur les destinataires
L'article 5 du projet d'arrêté précise les destinataires habilités à recevoir communication des données traitées par l'intermédiaire du  Service dématérialisé de l'alternance .
Plus précisément, ces données seront accessibles, chacun pour ce qui le concerne :
- aux organismes gestionnaires des branches du régime général de la sécurité sociale ;- aux chambres consulaires ;- aux organismes paritaires collecteurs agréés (OPCA) ;- aux organismes de formation ;- aux centres de formation des apprentis ;- aux Directions régionales des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIRECCTE) et à leurs unités territoriales ;- à la Délégation générale à l'emploi et à la formation professionnelle ;- à la Direction de l'animation de la recherche, des études et des statistiques (DARES).
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données du téléservice dénommé  Service dématérialisé de l'alternance .
Sur les durées de conservation des données
L'article 6 du projet d'arrêté précise que les données à caractère personnel sont conservées sur le site dématérialisé de l'alternance pendant la durée nécessaire à l'instruction complète du dossier, dans la limite de 10 ans à compter de la fin du contrat.
La Commission observe que cet article précise également que les données sont conservées par la DARES  en mode anonyme ou en mode individualisé le temps nécessaire à la constitution des panels d'enquêtes réalisées au titre de ses missions d'évaluation des politiques de l'emploi et de formation professionnelle . 
Enfin, la Commission relève que l'article 3 du projet d'arrêté précise que les comptes créés en ligne, après l'envoi d'un message d'avertissement au titulaire du compte, sont révoqués 1 an après la fin du contrat concerné si aucune connexion en mode authentifiée n'est effectuée sur le portail de l'alternance. 
La Commission considère que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement des finalités poursuivies.
Sur l'information des personnes concernées et les droits d'accès et de rectification
L'article 7 du projet d'arrêté mentionne que les droits d'accès et de rectification, prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exercent auprès du ministère du travail, de l'emploi et de la santé par courrier postal (7, Square Max Hymans - 75741 Paris Cedex 15) ou par courrier électronique.
La Commission relève, par ailleurs, que la demande d'avis présentée par le ministère du travail, de l'emploi et de la santé indique que l'information des personnes concernées sera assurée par une mention sur le site internet du ministère.
La Commission considère que les mesures prévues au titre de l'information des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission observe que l'authentification des utilisateurs est assurée au moyen de mots de passe alphanumériques. Elle rappelle, à ce titre, que des mots de passe doivent être régulièrement renouvelés, comporter au minimum 8 caractères et comprendre au moins une lettre, un chiffre et un caractère spécial.
La Commission prend acte, par ailleurs, que des profils d'habilitation définissant les fonctions ou les types d'informations accessibles à un utilisateur ont été définis.
Elle relève également qu'une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression a été définie.
La Commission note enfin que les échanges de données entre les différents acteurs sont réalisés au moyen de canaux sécurisés et, notamment, que les données transmises sont chiffrées. Elle prend également acte que les numéros de sécurité sociale font l'objet d'un chiffrement en base.
Ces mesures de sécurité apparaissent satisfaisantes à la Commission.
La PrésidenteIsabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents MM. Jean-Marie COTTERET, Jean-François CARREZ et Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n°2011-032 du 16 décembre 2011 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la société X de coopérer avec la Commission relativement à une demande de droit d'accès ;
Vu la décision du 10 avril 2012 de la Présidente de la Commission nationale de l'informatique et des libertés désignant M. Emmanuel de GIVRY, Commissaire, membre de la CNIL, en qualité de rapporteur ;
Vu le rapport de M. Emmanuel de GIVRY, commissaire rapporteur, adressé par lettre recommandée avec accusé de réception à la société X, le 21 avril 2012 ;
Vu les observations écrites versées par la société le 22 mai 2012, ainsi que les observations présentées oralement lors de la séance de la formation restreinte du 24 mai 2012 ;
Vu les autres pièces du dossier ;
Ayant entendu, lors de la réunion de la formation restreinte du 24 mai 2012 :
- M. Emmanuel de GIVRY, commissaire, en son rapport ;
- Mme Catherine POZZO DI BORGO, commissaire adjointe du Gouvernement, en ses observations ;
- Me XXX, avocat, conseil de la société, en sa défense ; Cette dernière ayant pris la parole en dernier,
À adopté la décision suivante :
 
I. FAITS ET PROCÉDURE
La société X (ci-après la société) est spécialisée dans l'adduction et le traitement de l'eau. Elle assure pour le compte des collectivités territoriales des interventions de maintenance sur les réservoirs d'eaux desservant les populations.
Suite à un accident de la circulation survenu durant sa période d'emploi au sein de la société, un salarié en contrat à durée déterminée a souhaité accéder aux données à caractère personnel figurant dans son dossier et spécialement aux données de géolocalisation concernant le véhicule de service qu'il utilisait le jour de l'accident. 
Cette demande, formulée par courrier le 5 avril 2011, visait à faire reconnaitre par le Tribunal des affaires sociales de sécurité sociale d'ARRAS le caractère d'accident du travail de cet accident de la route. En effet, ce litige porte sur la reconnaissance du caractère professionnel de l'accident de la circulation subi par le plaignant, que l'analyse des données de géolocalisation permettra d'établir.
La demande formulée auprès de son employeur s'étant avérée infructueuse, le salarié concerné a déposé une plainte auprès de la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) le 23 juin 2011. Le 1er juillet 2011, la Commission a ainsi adressé à la société un courrier l'enjoignant de présenter ses observations et les mesures adoptées pour répondre à la demande d'accès et de communication des informations à caractère personnel détenues par la société.
En l'absence de réponse de la société, la Commission a procédé à des relances, par courriers recommandés avec avis de réception en date des 18 août et 28 septembre 2011. Après avoir constaté auprès du plaignant l'absence de délivrance des informations demandées, elle a renouvelé ces demandes par télécopie le 18 novembre 2011. 
Constatant la persistance de la non-communication des données demandées au plaignant, la Présidente de la Commission a adopté, le 16 décembre 2011, une décision n°2011-032 mettant en demeure la société X, sous quinze jours : 
- de communiquer au plaignant l'ensemble des données à caractère personnel le concernant détenues dans l'ensemble des traitements de la société, et en particulier les données collectées par le système de géolocalisation mis en place sur son sur son véhicule ; 
- de lui communiquer les procédures mise en place pour répondre aux demandes formulées en application de l'article 39 de la loi du 6 janvier 1978 modifiée, s'agissant notamment du droit d'accès des employés aux données les concernant.
En réponse à la mise en demeure, la société a, le 4 janvier 2012, adressé un courrier à la Commission lui indiquant la possibilité d'une consultation sur place, par le plaignant, des informations demandées, mais refusant de lui en communiquer une copie.
Par courrier du 12 janvier 2012, la Commission adressé un courrier de la société lui rappelant les obligations lui incombant en application de l'article 39 de la loi précitée.
En l'absence de réponse à ce dernier courrier et de satisfaction donnée aux demandes du plaignant, un nouveau courrier a été adressé le 17 février 2012, réitéré le 16 mars 2012. 
Au vu de ces faits, la Présidente de la CNIL a désigné M. Emmanuel de GIVRY, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d'engager, à l'encontre de société, une procédure de sanction fondée sur le I de l'article 45 de la loi du 6 janvier 1978.
Le rapport a été communiqué à la société 21 avril 2012. Ce rapport sollicitait de la formation restreinte que celle-ci prononce, au vu des manquements constatés, une sanction pécuniaire d'un montant de 15 000 euros et assortisse cette sanction d‘une mesure de publicité. 
La société a produit des observations écrites sur le rapport le 22 mai 2012, réitérées oralement lors de la séance de la formation restreinte du 24 mai 2012 et complétées d'un courrier du président de la société le 1er juin 2012. En sa défense, la société fait valoir les observations suivantes. 
- La société, en forte croissance, a subi une importante désorganisation administrative du fait du succès imprévu rencontré par ses activités commerciales ; par ailleurs, elle ne disposait pas en interne des compétences nécessaires pour répondre aux demandes du plaignant ;
- Elle n'est animée d'aucune intention de faire obstacle à l'action de la Commission ; son absence de réponse n'est due qu'à l'indisponibilité de son président pour répondre aux demandes, et à son incompréhension quant à la nature des éléments demandés ; 
- La durée de conservation des données de géolocalisation ne permet pas d'obtenir du prestataire de géolocalisation les données demandées, la société ne procédant à aucune impression et n'en conservant aucune trace ;
- La géolocalisation aurait dysfonctionné jusqu'au mois de février 2012, date à laquelle le système aurait été réellement opérationnel, ayant été doté d'un logiciel plus performant ; 
- L'ensemble des pièces demandées auraient été transmises par courriel au plaignant. 
Au vu de l'ensemble de ces faits et procédure, la formation restreinte adopte la Commission dont la teneur suit. 
 
II. MOTIFS DE LA DÉCISION
1. Sur le manquement à l'obligation de garantir le droit d'accès 
L'article 39-I de la loi du 6 janvier 1978 prévoit que toute personne physique justifiant de son identité a le droit d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir : 
1° La confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de ce traitement ; [...]
4° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ;
Par mise en demeure en date du 23 décembre 2011, la société a été mise en demeure de respecter ces dispositions en communiquant au plaignant, sous quinze jours, les données dont celui-ci demandait communication. Dans son courrier de réponse en date du 28 décembre 2011, la société a indiqué qu'elle n'empêchait pas le salarié concerné de consulter les données de géolocalisation mais qu'elle ne délivrerait pas de copie des informations demandées, au motif que les documents concernés ne pouvaient quitter l'entreprise.
En défense, elle a également fait valoir son incompréhension quant aux éléments à fournir en réponse aux demandes formulées, sa désorganisation conjoncturelle, ainsi que l'impossibilité de déférer à la demande du plaignant faute de pouvoir accéder aux informations demandées, dont aucune trace n'est conservée au-delà de six mois dans le dispositif. De manière plus générale, elle reconnaît ne pas s'être mise en mesure de répondre aux exigences posées par la loi du 6 janvier 1978 modifiée et aux demandes de la CNIL, mais soutient toutefois avoir repris contact avec le plaignant après avoir récupéré le dispositif de géolocalisation auprès de la société prestataire qui l'hébergeait précédemment.
Il appartient à la formation restreinte de déterminer si la société a satisfait aux demandes posées par la mise en demeure sur ce point.