AgentPublic/cnil huggingface dataset:
En premier lieu, les informations relatives à l'identification des élèves sont les suivantes : - nom de famille ;- prénoms ;- sexe ;- date de naissance ;- lieu de naissance : (en France : commune et département, à l'étranger : nom de la commune et pays)- adresse : adresse, code postal, localité, pays. - téléphones : domicile, travail, portable, case à cocher  accepte les SMS  : oui/non;- adresse courriel ;- régime (demi-pensionnaire, externe ou interne) (article 2 du projet d'arrêté).
La Commission prend acte que le numéro d'identification académique des élèves du 2nd degré (n°INE-BEA) ne sera pas saisi dans l'application. 
En second lieu, les informations relatives à l'identification des responsables légaux sont les suivantes : - civilité ;- nom de famille ;- prénom ;- lien avec l'élève (à choisir parmi  Mère ,  Père ,  l'élève lui-même ,  autre membre de la famille ,  tuteur ,  autre cas ) ;- adresse, code postal, localité, pays- téléphones : domicile, travail, portable, case à cocher  accepte les SMS  : oui/non ;- adresse courriel ;- autorise la communication de ses données aux associations de parents d'élèves siégeant au conseil d'administration de l'établissement : oui/non - profession à choisir parmi une liste de catégories socio-professionnelles ;- identifiant(s) et mot(s) de passe choisi(s) par le ou les responsables légaux permettant l'accès au télé-service (article 2 du projet d'arrêté).
L'alimentation du traitement sera effectuée :- concernant les données d'identification des élèves : par le biais des données fournies directement par l'élève et des données traitées dans SIECLE ;- concernant les données d'identification des responsables légaux : par les données fournies directement par les responsables légaux ainsi que par les données d'identification des représentants légaux de l'élève sont aussi fournies par les données de SIECLE ;- concernant les données de connexion des élèves et des responsables : par les codes d'activation cryptés mis à disposition par le MEN, puis les mots de passe et login choisis par l'usager ; 
La Commission considère que les données traitées sont pertinentes et non excessives au regard de la finalité poursuivie. 
Sur la durée de conservation des données :
Les données traitées seront conservées une année, afin de couvrir l'année scolaire à venir. Cette durée de conservation n'appelle pas d'observations particulières. 
Sur les destinataires des données :
Pour l'ensemble des données : les chefs d'établissement et les agents habilités des services administratifs de l'établissement. 
Pour les coordonnées des seuls garants et responsables légaux des élèves ayant autorisés expressément la transmission de cette information : les associations de parents d'élèves représentées au sein du conseil d'administration de l'établissement.
Cette liste de destinataires n'appelle pas d'observation. 
Sur les droits des personnes :
Le droit d'accès et de rectification prévu par l'article 39 de la loi du 6 janvier 1978 modifiée s'exerce auprès du chef d'établissement. 
La Commission prend acte que le Télé-services - fiche de renseignements administratifs est un service facultatif. Elle invite cependant le ministère à préciser dans le projet d'arrêté que le droit d'opposition s'adresse auprès du chef d'établissement. 
Le Télé-service  fiche de renseignements administratifs  s'inscrit dans le cadre du développement de l'offre de télé-services scolaires dans le 2nd degré (notes, absences, livret personnel de compétences). 
A ce titre, la Commission insiste sur la nécessité, pour le MEN, d'informer chaque établissement utilisant ce télé-service de son obligation de continuer à mettre à disposition des responsables légaux qui ne seraient pas en capacité d'accéder au télé-service proposé ou qui ne souhaiteraient pas l'utiliser un autre moyen d'accès aux données traitées dans le télé-service (appels téléphoniques, envoi d'un courrier postal, d'un courriel ou d'un SMS). 
A ce titre, le ministère a précisé que ses services continueront à traiter, outre les appels téléphoniques des représentants légaux et leurs courriers postaux, les fiches papiers qu'ils leur remettront.
Une demande écrite en ce sens devra pouvoir être adressée à l'établissement par les responsables légaux de l'élève sur le carnet de correspondance de l'élève. 
Sur les mesures de sécurité :
La Commission rappelle que conformément à l'article 14 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et approuvé par l'arrêté du 6 mai 2010, la conformité du présent télé-service au référentiel général de sécurité (RGS) doit être assurée avant sa mise en œuvre. 
La Commission recommande des mots de passe de huit caractères minimum comprenant plusieurs types de caractères. Ces mots de passe ne doivent pas être accessibles aux administrateurs. Elle souligne l'importance d'une traçabilité pour la création de comptes et pour les connexions à l'application. La Commission considère notamment qu'une traçabilité des identifiants des utilisateurs administrateurs du service devrait être prévue. 
Enfin, la Commission recommande que les utilisateurs soient notifiés par courriel de toute modification de leurs données personnelles dans la Base élèves de l'établissement (BEE), à l'adresse courriel renseignée dans la BEE, ou - si celle-ci est elle-même modifiée - à l'adresse courriel précédemment enregistrée dans la BEE.
Sur le bilan:
La Commission rappelle qu'elle avait demandé un bilan lors de sa délibération n°2012-230 du 5 juillet 2012 à l'issue d'une période de deux ans (soit le 5 juillet 2014). Elle estime que ce bilan devrait également intégrer les modifications précisées dans la présente délibération. 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le code de l'entrée et du séjour des étrangers, le décret n° 2011-638 du 8 juin 2011 relatif à l'application de gestion des dossiers des ressortissants étrangers en France et aux titres de séjour et aux titres de voyage des étrangers et le décret n° 2007-255 du 27 février 2007 fixant la liste des titres sécurisés relevant de l'agence nationale des titres sécurisés ; Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L.611-1-1, L.611-3, L.611-5 et R.611-1 à R. 611-7-4 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-I-2° et 30-II ;Vu la loi n° 2012-1560 du 31 décembre 2012 relative à la retenue pour vérification du droit au séjour et modifiant le délit d'aide au séjour irrégulier pour en exclure les actions humanitaires et désintéressées ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n°
78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2007-255 du 27 février 2007 fixant la liste des titres sécurisés relevant de l'Agence nationale des titres sécurisés ;
Vu le décret n° 2011-1919 du 22 décembre 2011 relatif au Conseil national des activités privées de sécurité ;Après avoir entendu M. Sébastien HUYGHE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie, par le ministère de l'intérieur, d'une demande d'avis concernant un projet de décret modifiant les dispositions du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) concernant l'application de gestion des dossiers des ressortissants étrangers en France (AGDREF2).
Rappel sur le traitement AGDREF2
Le traitement AGDREF 2, dont les conditions de mise en œuvre sont définies aux articles R. 611-1 à R. 611-7-4 du CESEDA, constitue le fichier principal de gestion administrative des étrangers et concerne environ sept millions de personnes.
Il permet notamment la gestion par les préfectures des dossiers de ressortissants étrangers et la fabrication des titres de séjour, la gestion des mesures d'éloignement et permet aux agents habilités à examiner la situation des étrangers au regard du séjour en France d'effectuer les vérifications nécessaires. Il comporte une base centralisée de données biométriques (les dix empreintes digitales et la photographie des personnes concernées) relatives aux demandeurs de titre de séjour, aux personnes en situation irrégulière et aux personnes faisant l'objet d'une mesure d'éloignement et permet la délivrance de titres biométriques de séjour et de voyage des étrangers. L'accès aux données enregistrées dans ce traitement est enfin ouvert, dans la limite du besoin d'en connaître, à tous les services de l'Etat et organismes rattachés intervenant dans la gestion administrative des étrangers.
Le ministère chargé de l'immigration projette de modifier à nouveau les dispositions réglementaires du CESEDA relatives au traitement AGDREF2 afin de prendre en compte la création de la carte de frontalier dans le cadre du régime de circulation transfrontalière temporaire entre l'État de l'Amapa au Brésil et la région française de la Guyane, ainsi que l'entrée en vigueur de la loi n° 2012-1560 du 31 décembre 2012 susvisée, qui a notamment créé une nouvelle procédure administrative de retenue pour vérification du droit au séjour . Ces modifications entraînent l'enregistrement de nouvelles données dans le traitement et l'ajout de nouveaux destinataires.
En application des dispositions de l'article L. 611-5 du CESEDA et des articles 27-I-2° et 30-II de la loi du 6 janvier 1978 modifiée, ces modifications nécessitent un décret en Conseil d'Etat pris après avis motivé et publié de la Commission. 
Sur les nouvelles données enregistrées dans le traitement
A la suite de la déclaration conjointe des présidents français et brésilien du 11 décembre 2012 a été créé un nouveau régime de circulation transfrontalière entre l'État de l'Amapa au Brésil et la région française de la Guyane. Une exemption de visa bénéficiera ainsi aux Brésiliens souhaitant entrer sur le territoire de la Guyane et y circuler pour une période d'excédant pas 72 heures d'affilée. Le droit de circuler des bénéficiaires sera matérialisé par une carte de frontalier, éditée par l'application AGDREF 2. Cette carte comportera, tout comme les titres de séjour et autres documents de voyage des étrangers édités par cette application, un composant électronique contenant deux empreintes digitales de l'intéressé. De même, les empreintes digitales des dix doigts de leur titulaire seront enregistrées dans la base AGDREF 2.
Les articles 3, 4, 7-2° et 8 du projet de décret soumis à la Commission modifient en conséquence les dispositions réglementaires du CESEDA relatives au traitement AGDREF 2. .L'article R. 611-1-1° dudit code est modifié afin de prévoir la fabrication par le traitement de l'ensemble des documents de circulation des ressortissants étrangers, et non des seuls ressortissants étrangers mineurs. Le projet d'article R. 611-2-1° du CESEDA prévoit expressément l'enregistrement des données personnelles des étrangers demandeurs d'une carte de frontalier et l'annexe 6-4 du même code, qui précise l'ensemble des données enregistrées dans le traitement AGDREF 2, est modifiée afin de mentionner cette nouvelle catégorie de personnes concernées. Enfin, l'article R. 611-6 est modifié afin de prévoir que les cartes de frontalier sont dotées d'un composant électronique, auquel peuvent accéder, dans les mêmes conditions, les agents déjà autorisés à consulter les données enregistrées dans les composants électroniques des titres de séjour et de voyage édités par cette application.
En outre, d'autres modifications mineures sont apportées à l'annexe 6-4 du CESEDA afin de mentionner de nouvelles informations concernant les actes de procédures enregistrés dans l'application AGDREF2.
Dans la mesure où les données enregistrées dans le traitement concernant les demandeurs d'une carte de frontalier sont identiques à celles concernant les autres ressortissants étrangers demandeurs d'un titre de séjour ou de voyage, ces modifications n'appellent pas d'observation particulière de la Commission. 
Sur l'ajout de nouveaux destinataires 
En premier lieu, il est prévu de modifier les dispositions des articles R. 611-4 à R. 611-6 du CESEDA afin de prendre en compte l'entrée en vigueur de la loi n° 2012-1560 du 31 décembre 2012 susvisée, qui a notamment créé une nouvelle procédure administrative de retenue pour vérification du droit au séjour . 
Cette procédure a été créée afin de combler le vide juridique résultant de décisions de la Cour de justice de l'Union européenne et de la Cour de Cassation, interdisant de punir de peines d'emprisonnement le seul séjour irrégulier de ressortissants étrangers et, par voie de conséquence, leur placement en garde à vue. La loi du 31 décembre 2012 a ainsi créé une nouvelle mesure de retenue administrative, prévue à l'article L. 611-1-1 du CESEDA, plus brève que la garde à vue mais plus longue que la simple vérification d'identité, et explicitement destinée à vérifier le droit au séjour de la personne appréhendée.
En pratique, si l'étranger n'est pas en mesure de justifier de son droit de circuler ou de séjourner en France, il est conduit au poste de police ou de gendarmerie et y est retenu par un officier de police judiciaire aux fins de vérification de son droit de circulation ou de séjour sur le territoire français. Si l'étranger ne fournit pas d'éléments permettant d'apprécier sa situation, les opérations de vérification peuvent donner lieu, après information du procureur de la République, à la prise d'empreintes digitales ou de photographies lorsque celle-ci constitue l'unique moyen d'établir la situation de cette personne . 
Afin de permettre l'application de ces nouvelles dispositions législatives, et notamment la consultation du traitement AGDREF 2 aux fins d'identifier les personnes dont les empreintes digitales sont relevées dans le cadre de cette nouvelle mesure de retenue administrative, il est prévu d'ajouter de nouveaux destinataires à ce traitement dans le cadre de la nouvelle procédure administrative de retenue pour vérification du droit de séjour .
Ainsi, l'article R. 611-4 du CESEDA est modifié pour que les agents des services déconcentrés de la police et de la gendarmerie nationales puissent directement accéder au traitement AGDREF 2 dans le cadre de leur mission de vérification du droit au séjour ou à la circulation sur le territoire. Les articles R. 611-5 et R. 611- 6 du même code doivent également être modifiés afin de permettre l'accès des services de police et de gendarmerie habilités à réaliser cette mission, en simple consultation, aux données enregistrées dans le traitement, y compris aux empreintes digitales et aux informations contenues dans le composant électronique du titre de séjour, de voyage ou de circulation de l'étranger concerné. 
La Commission considère dès lors que ces nouveaux accès au traitement AGDREF 2 sont nécessaires à l'accomplissement de leur mission dans le cadre de la nouvelle procédure administrative de retenue pour vérification du droit au séjour. 
En second lieu, de manière plus générale, de nouveaux destinataires sont prévus. L'article 6 du projet de décret vise à modifier l'article R. 611-6 du CESEDA afin de prévoir l'accès en simple consultation au traitement AGDREF 2 par les agents du Conseil national des activités privées de sécurité (CNAPS) et les agents de la douane judiciaire.
A titre liminaire, la Commission relève qu'une procédure de désignation individuelle et d'habilitation spéciale par leur supérieur hiérarchique à être destinataire de ces données est prévue pour ces deux catégories d'agents.
Les agents du CNAPS auront ainsi accès, dans la limite du besoin d'en connaître et à l'exclusion des empreintes digitales et des données contenues dans le composant électronique des titres, aux données relatives au droit au séjour et aux éventuelles mesures d'éloignement concernant des étrangers postulants à des activités de sécurité privée. La Commission relève que ces accès leur permettront ainsi d'exercer leur mission de contrôle a priori dans le cadre de la délivrance d'agréments, d'autorisations et de cartes professionnelles prévue à l'article L. 632-1 du Code de la sécurité intérieure. 
L'ajout des agents de la douane judiciaire à la liste des destinataires du traitement AGDREF 2 a pour objet de leur permettre le même accès que les autres agents habilités à effectuer des missions de police judiciaire, dans les conditions prévues à l'article R. 611-5-7° du CESEDA. Il n'appelle donc pas d'observation particulière de la part de la Commission. 
La Commission considère que l'ensemble de ces nouveaux accès sont donc justifiés au regard des finalités du traitement AGDREF 2. 
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1668412)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Conseil Communal d’Action Sociale de Cournon d’Auvergne d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées, améliorer le suivi des demandes, connaître le nombre de personnes en liste d’attente.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le Code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Il s’agit du CCAS de la ville de Cournon d’Auvergne sis 32 rue du Bout du Plot - 63800 COURNON d’AUVERGNE en qualité d’organisme gérant de l’Etablissement d'Hébergement pour Personnes Agées Dépendantes (EHPAD) « George Sand » sis 48 avenue de la liberté -63800- COURNON D’AUVERGNE. Il s’agit d’un établissement social et médico-social au sens de l’article L. 312-1 du code de l’action sociale et des familles.
Sur la finalité
La finalité du traitement est de permettre aux EHPAD de faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées, d’améliorer le suivi des demandes et de connaître le nombre de personnes en liste d’attente.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites. Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance, personne référente) ;
à leur vie personnelle (situation familiale) ;
à leur situation financière ;
à leurs données de santé (pathologies, affection, données relatives aux soins, degré de dépendance).
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels habilités de l’établissement et les EHPAD de la région dans la limite de leurs attributions (notamment le médecin coordinateur de l’établissement d’hébergement pour personnes agées).Les demandes d’admission sont enregistrées dans une base de données (logiciel Attentum) accessible à tous les EHPAD de la région dans le but de mieux gérer le suivi des demandes et notamment les listes d’attente.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’affichage dans les locaux de l’établissement et par une note d’information jointe au formulaire d’admission.Les droits d’accès et de rectification s’exercent auprès du CCAS de la ville de Cournon d’Auvergne sis 32 rue du Bout du Plot- 63800 COURNON d’AUVERGNE en qualité d’organisme gérant de l’Etablissement d'Hébergement pour Personnes Agées Dépendantes (EHPAD) « George Sand » sis 48 avenue de la liberté -63800- COURNON D’AUVERGNE. Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes pour la Commission. 
Sur les mesures de sécurité
La Commission observe que l'authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d'un niveau de complexité suffisant (mots de passe d'au moins huit caractères des catégories minuscules, majuscules, chiffres et caractères spéciaux) et doivent être modifiés lors de la première utilisation.La journalisation des accès (consultation, création, modification et suppression) est réalisée sur certaines informations sensibles (données médicales et informations sur l'instruction d'un dossier).Les données sont hébergées par un prestataire agréé « hébergement de données de santé » en conformité avec l'architecture technique préconisée par la Commission (https).Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les demandes d'admissions sont réactualisées chaque année.Si la personne n'est plus en demande d'hébergement, les données sont supprimées.Lorsque que la personne est admise au sein d’un établissement, les données sont conservées pendant toute la durée de prise en charge et pendant une durée supplémentaire de deux ans à compter de la fin de la relation contractuelle.A l’issue de cette durée de conservation, les données sont supprimées sauf dispositions légales ou réglementaires contraires.Ces durées de conservation apparaissent pertinentes au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, le CCAS de Cournon d’Auvergne à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN