AgentPublic/cnil huggingface dataset:
Ce traitement doit permettre à l’ANTAI de notifier, pour le compte des collectivités territoriales qui le souhaitent, les avis de paiement de « forfaits post-stationnement » (FPS) aux usagers qui ne respecteraient pas les règles de paiement du stationnement.  Il doit également lui permettre d’émettre des titres exécutoires et de les transmettre au comptable public chargé de leur recouvrement, conformément aux nouvelles missions qui ont été confiées à cet organisme. 
La Commission relève qu’il est prévu que le traitement projeté puisse faire l’objet d’interconnexions, de mise en relation ou de rapprochement avec plusieurs traitements de données à caractère personnel. Le traitement projeté doit dès lors être autorisé par la Commission en application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée. 
De manière générale, la Commission rappelle que l’ANTAI étant placée sous la tutelle du ministère de l’intérieur, il reviendra à ce dernier de s’assurer, le cas échéant, de la mise à jour des formalités déclaratives applicables aux traitements concernés. Elle relève enfin qu’un arrêté du ministre de l’intérieur rappellera les principales caractéristiques du traitement projeté ainsi que ses conditions de mise en œuvre.  
Sur les finalités du traitement  et les interconnexions mises en œuvre :
La loi n° 2014-58 du 27 janvier 2014 de modernisation de l’action publique territoriale et d’affirmation des métropoles, dite loi « MAPTAM », porte dépénalisation et décentralisation du stationnement payant. 
Depuis le 1er janvier 2018, il est ainsi prévu que lorsqu’une redevance sur la voie publique ne sera pas ou sera insuffisamment réglée, la personne concernée soit redevable du paiement d’un forfait post-stationnement dont le montant sera librement fixé par la collectivité territoriale concernée.
L’article L. 2333-87 du code général des collectivités territoriales (CGCT), tel que modifié par l’article 63 de la loi précitée, prévoit ainsi que « le montant du forfait de post-stationnement dû, déduction faite, le cas échéant, du montant de la redevance de stationnement réglée dès le début du stationnement, est notifié par un avis de paiement délivré soit par son apposition sur le véhicule concerné par un agent assermenté de la commune, de l'établissement public de coopération intercommunale, du syndicat mixte ou du tiers contractant désigné pour exercer cette mission, soit par envoi postal au domicile du titulaire du certificat d'immatriculation du véhicule concerné effectué par un établissement public spécialisé de l'Etat ». Il résulte de ces modifications que la gestion de l’avis de paiement peut être effectuée soit directement par les collectivités territoriales après le dépôt sur le pare-brise du véhicule concerné de l’avis de paiement du FPS (« cycle partiel ») soit par l’ANTAI. Dans cette dernière hypothèse, l’ANTAI est chargée par la collectivité territoriale d’adresser l’avis de paiement du FPS à la personne concernée par voie postale ou par envoi dématérialisé (« cycle complet »).
La Commission relève que l’ANTAI, organisme placé sous la tutelle du ministère de l’intérieur, a vu ses missions élargies afin de lui permettre de prendre en compte la gestion du paiement du FPS. L’article 2 du décret du 29 mars 2011 susvisé prévoit désormais que l’ANTAI est notamment en charge de la préparation et de l’envoi des avis de paiement des forfaits de post-stationnement, de l’information des personnes destinataires d’un avis de paiement d’un FPS ainsi que de l’émission du titre exécutoire correspondant.  
Dans ce contexte, le traitement projeté vise à tenir compte de l’évolution des missions confiées à l’ANTAI en lui permettant de mettre en œuvre un traitement qui poursuit les finalités suivantes : 
la notification, pour le compte des collectivités territoriales, des avis de paiements initiaux et rectificatifs des FPS relevés sur leur ressort territorial ; 
l’émission des titres exécutoires prévus à l’article L. 2333-87 du CGCT en vue du recouvrement du FPS impayé ainsi que des titres exécutoires rectificatifs ou des titres d’annulation des FPS en cas de rectification ou d’annulation par la commission du stationnement payant ; 
la transmission des titres exécutoires précédemment énumérés au comptable public chargé de leur recouvrement.
La Commission relève par ailleurs que ce traitement pourra faire l’objet d’interconnexions, de mise en relation ou de rapprochement avec d’autres traitements. A titre général, elle prend acte que seules les données strictement nécessaires à l’exercice des missions confiées à l’ANTAI dans le cadre des prérogatives qui lui sont confiées pour la gestion du paiement du FPS lui seront transmises. 
En particulier, la Commission prend acte que les échanges de données susceptibles d’intervenir avec les systèmes d’informations mis en place par les collectivités territoriales tels que prévus par l’article 3-II de l’arrêté du 6 novembre 2015 susvisé doivent permettre l’édition des avis de paiement ou la transmission des titres exécutoires à la Direction générale des finances publiques (DGFiP). De la même manière, la Commission relève qu’ il est prévu que le traitement projeté fasse l’objet d’interconnexions avec les traitements automatisés de données à caractère personnel mis en œuvre par la DGFiP pour l’édition et l’envoi d’avertissements aux redevables n’ayant pas réglé le FPS dans le délai prévu à l’article L. 2333-87 du CGCT ainsi qu’avec le traitement automatisé de données à caractère personnel « système d’information télépaiement », ce qui n’appelle pas d’observation particulière.
S’agissant de l’interface avec le système de la Commission du contentieux et du stationnement payant, sur lequel la Commission s’est prononcée dans sa délibération du 21 décembre 2017 susvisée, elle relève que les informations transmises doivent permettre à l’ANTAI d’être informée des suites données à l’exercice, par un redevable, d’un recours préalable administratif obligatoire auprès de cette Commission.  
Elle observe par ailleurs que, s’agissant du « système d’immatriculation des véhicules » (SIV), l’article L. 330-2 du code de la route prévoit effectivement que certaines des informations contenues dans ce traitement puissent être communiquées l’établissement public de l'Etat chargé de participer aux opérations nécessaires à la délivrance par voie postale de l'avis de paiement mentionné à l'article L. 2333-87 du code général des collectivités territoriales ou à l'émission du titre exécutoire prévu au même article, à savoir l’ANTAI.   
En ce qui concerne les échanges de données devant intervenir avec le traitement automatisé de données à caractère personnel dénommé « base satellite VV » recensant les véhicules volés, créé par arrêté du 10 décembre 2008 susvisé pris après avis de la CNIL, la Commission prend acte que les données transmises doivent permettre à l’ANTAI de savoir si le véhicule concerné est déclaré volé dès lors que, dans cette hypothèse, aucun avis de paiement relatif au FPS n’est adressé.
S’agissant du traitement automatisé de données à caractère personnel mis en œuvre par la Poste relatif au fichier des nouveaux voisins, la Commission prend acte que les informations transmises à l’ANTAI doivent lui permettre d’adresser l’avis initial de paiement du FPS ou le titre exécutoire émis lorsque ces titres n’ont pas pu être distribués (« plis non distribués ») et que les personnes concernées ont autorisé la communication de leurs nouvelles adresses. 
Elle prend acte que l’interrogation de ce fichier par l’ANTAI s’effectuera de manière hebdomadaire. 
Compte tenu de ce qui précède, la Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée. 
Sur la nature des données :
Les données personnelles collectées dans le cadre du traitement projeté se rapportent aux informations relatives : 
au forfait post-stationnement (numéro du forfait, numéro d’immatriculation et marque du véhicule, montant dû, coordonnées du service auprès duquel le redevable peut exercer un recours administratif préalable obligatoire, adresse du destinataire du FPS, etc.) ; 
à un forfait post-stationnement rectificatif (nouveau numéro de FPS, numéro et date d’établissement de l’avis de paiement rectificatif, montant correctif du FPS et montant d’une nouvelle majoration, etc.) ;
au paiement d’un forfait post-stationnement (montant payé au titre du FPS initial ou rectificatif, montant recouvré du FPS majoré et date du recouvrement, canal utilisé pour le paiement du FPS, mode de paiement du FPS, etc.). 
La Commission relève par ailleurs que des données relatives aux collectivités territoriales (nom et adresse, numéro d’identification SIRET, forme juridique, date de début et de fin de la convention signée avec l’ANTAI, indication du cycle choisi par la collectivité, libellé et code budget) seront également collectées. 
La Commission prend acte que les données figurant dans chacune de ces différentes catégories seront énumérées et annexées à l’arrêté précité. 
Dans ces conditions, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les durées de conservation :
Les données à caractère personnel relatives aux avis de paiement initiaux et rectificatifs des FPS ainsi qu’aux titres exécutoires des forfaits FPS sont conservées pendant trois ans à compter de leur émission. 
Les données relatives aux collectivités territoriales sont conservées pendant trois ans, conformément aux dispositions de l’article R. 2333-120-17-2 du  CGCT.
La Commission prend acte que les durées de conservation ainsi définies pourront être prorogées jusqu’à l’extinction de l’action publique en cas de recours formé devant la commission du contentieux du stationnement payant. Elle prend également acte qu’à l’issue de ces durées, les données seront détruites. La Commission rappelle que cette destruction doit intervenir de manière sécurisée. 
Compte tenu de ces éléments, la Commission estime que la durée ainsi définie est conforme à l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les personnes habilitées et les destinataires :
Seuls les agents de l’ANTAI et les personnels des prestataires de l’ANTAI chargés de la maintenance informatique du traitement ont accès aux données à caractère personnel enregistrées dans le traitement, à raison de leurs attributions et dans la limite de leur besoin d’en connaître.  
La Commission relève que peuvent être destinataires de ces mêmes données, à raison de leurs attributions et dans la limite du besoin d’en connaître : 
les agents des communes, des établissements publics de coopération intercommunale et des syndicats mixtes, pour les seules données à caractère personnel et informations relatives aux forfaits de post-stationnement relevant de leur ressort territorial ; 
les agents de la DGFiP, pour les seules données à caractère personnel et informations relatives aux titres exécutoires à émettre, modifier ou à annuler.
La Commission considère que les finalités des traitements mis en œuvre justifient que, dans les conditions précitées, ces personnes accèdent ou soient destinataires des données amenées à figurer dans le traitement projeté. 
Sur l’information et les droits les personnes :
La Commission prend acte qu’une information conforme aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée sera délivrée aux personnes concernées. 
Elle relève que les droits d’accès, de rectification et d’opposition pour motifs légitimes s’exercent directement auprès du Centre national de traitement des infractions routières (CNT), situé à Rennes.
La Commission prend acte qu’un bandeau d’information sera inséré sur les avis de paiement des FPS afin de préciser les modalités précises d’exercice de ces droits. Elle relève que ce bandeau précisera également que les personnes concernées peuvent exercer leurs droits auprès de l’autorité dont relève l’agent ayant établi l’avis de paiement. 
Sur la sécurité des données et la traçabilité des actions :
Le traitement « Service FPS-ANTAI » fait l’objet de liaisons informatiques avec d’autres systèmes de traitements intervenant dans la chaîne de traitement des FPS et est mis en œuvre au CNT.
Les interconnexions mises en œuvre avec le « SIV » interviennent sur le réseau privatif du CNT et s’appuient sur le protocole sécurisé « Cross File Transfer » (CFT). Les interconnexions avec la « base Satellite VV » s’effectuent entre le réseau du CNT et le « Réseau Interministériel de l’Etat » (RIE) et s’appuient sur ce même protocole. 
La transmission des données avec les collectivités territoriales est sécurisée au moyen du protocole HTTPS avec authentification mutuelle client-serveur basée sur des certificats qualifiés RGS.
 
La gestion des échanges avec la Commission du contentieux et du stationnement payant fait également appel à des services web  sécurisés déployés sur le RIE.
 
L’interrogation des services Alliage (plis non distribués) et Charade (changement d’adresse) s’appuie sur les interfaces de programmation applicatives (API) du fournisseur de ces services, soit le responsable de l’éditique de l’ANTAI. Les échanges interviennent ainsi sur le réseau du CNT et sont sécurisés au moyen de certificats dédiés.
 
Les échanges de fichiers de données à caractère personnel avec la DGFiP interviennent sur une ligne dédiée du RIE et sont basés sur CFT, ce qui garantit leur confidentialité.
 
La gestion des échanges pour les paiements est sécurisée au moyen du protocole IPSEC, ce qui garantit leur confidentialité.
L’ensemble des opérations liées à ces services web est tracé au niveau base de données et au niveau métier sur une année glissante. Il en est de même des traces techniques.
 
La Commission estime que les mesures de sécurité mises en œuvre sont satisfaisantes au regard des obligations de l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite une réévaluation régulière des risques et la mise à jour des mesures de sécurité en tant que de besoin. 
Dans ces conditions, elle autorise, conformément à la présente délibération, l’Agence nationale du traitement automatisé des infractions (ANTAI) à mettre en œuvre le traitement susmentionné.   
Pour La Présidente
Le Vice-Président Délégué
Marie-France MAZARS
(demande d’autorisation n° 1860548 V1)
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction Générale du Travail à mettre en œuvre un traitement automatisé de données à caractère personnel dénommé « WIKI’T » ayant pour finalité la gestion des dossiers d’établissements par les services de l’inspection du travail ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la Convention n° 81 de l’Organisation internationale du travail ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 9 et 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
En application des dispositions du code du travail, l’inspection du travail contrôle l’application du droit du travail dans tous ses aspects : santé et sécurité, fonctionnement des institutions représentatives du personnel, durée du travail, contrat de travail et travail illégal. 
Concurremment avec les officiers de police judiciaire, les inspecteurs du travail constatent les infractions aux dispositions légales relatives au code du travail ou au régime du travail ainsi qu’aux stipulations des conventions et accords collectifs de travail et ils constatent également  les infractions mentionnées à l’article L. 8112-2 du code du travail.
Enfin, l’inspection du travail possède un pouvoir de décision dans certaines situations prévues par le code du travail. Tel est le cas, par exemple, en ce qui concerne la décision d’autorisation ou de refus d’autorisation du licenciement des représentants du personnel (délégué du personnel, membre du comité d’entreprise social et économique, délégués de proximité, délégué syndical), des conseillers prud’hommes, des médecins du travail.
La Commission note que les missions de l’inspection du travail ont été étendues par les dispositions de l’ordonnance 2016-413 du 7 avril 2016 relative au contrôle de l'application du droit du travail et de la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement et améliorant l'efficacité et les garanties de la procédure pénale.
En application de ces textes, des agents de contrôle de l’inspection du travail peuvent proposer à la Direction régionale des entreprises, de la concurrence, de la consommation, du travail et de l’emploi (DIRECCTE) de prononcer une amende administrative à l’égard des personnes ayant commis une infraction au code du travail, transiger avec ces personnes et procéder à des auditions pénales.
Pour l’exercice de ses missions, la DGT met en œuvre un traitement de données à caractère personnel dénommé « WIKI’T » sur lequel la Commission s’est prononcée par une délibération en date du 6 octobre 2015.
Au regard de la finalité du traitement et de la nature des données collectées ou susceptibles de l’être, ce traitement relève notamment des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements justifiés par l’intérêt public faisant apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci.
Il convient également de faire application de l’article 25-I-3° de la loi qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations et mesures de sûreté.
Afin de prendre en compte les nouvelles missions de l’inspection du travail précitées et de mettre à jour le traitement pour répondre à certains besoins constatés dans la première version de WIKI’T, la présente délibération modifie les catégories de données traitées, les destinataires et les durées de conservation des données contenues dans le traitement.
Sur la finalité du traitement :
Le traitement WIKI’T est une base de données nationale visant à centraliser les dossiers d’établissements comprenant les données relatives aux entreprises, aux chantiers, aux navires et aux prestations de services.
Elle comprend également des données relatives aux particuliers employeurs et aux personnes morales ou physiques certifiées pour pouvoir faire des repérages de matériaux et produits contenant de l’amiante.
Cette application permet de préparer et de saisir les contrôles réalisés, de suivre les procédures judiciaires, de mutualiser des pratiques professionnelles et de gérer des agendas partagés.
En outre, les données issues de WIKI’T  permettent à la DGT d’assurer ses missions d’évaluation et de pilotage du système d’inspection du travail à travers le recueil de l’activité collective des agents et le compte-rendu des actions réalisées devant le parlement au titre du budget opérationnel de programme : « amélioration de la qualité de l’emploi et des relations du travail ».
En effet, par application de l’article R. 8121-14 du code du travail, la Direction générale du travail « détermine les orientations de la politique du travail, coordonne et évalue les actions, notamment en matière de contrôle de l'application du droit du travail ».
En outre, la DGT doit rendre compte de son activité de manière annuelle par la rédaction d’un rapport remis au Bureau international du travail (BIT). Ce rapport doit notamment comporter « les statistiques des infractions commises et des sanctions imposées ».
La Commission relève que le suivi de l’activité sera fait sous forme de statistiques agrégées ne permettant pas d’identifier les personnes et prend acte du fait que le présent traitement n’a pas pour finalité le contrôle individuel des agents.
Par ailleurs, WIKI’T intègre une application déjà existante visant à gérer les recours hiérarchiques et contentieux contre les décisions des services de l’inspection du travail (recours contre un refus d’autorisation de licenciement de salariés protégés ou contre une décision de dérogation aux durées du travail).
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur la nature des données traitées :
Les données collectées dans le cadre du traitement WIKI’ T sont relatives :
à la dénomination des entreprises (SIREN/SIRET, raison sociale, adresse, service ou atelier) ;
à l’identité des contacts dans l’entreprise (nom, prénom, fonction, téléphone, portable, fax, adresse courriel) ;
à l’identité des particuliers employeurs (nom, prénom, adresse, téléphone) ;
à l’identité des personnes physiques certifiées pour pouvoir faire des repérages de matériaux et produits contenant de l’amiante (nom, prénom, adresse et numéro de téléphone) ;
à l’identification des salariés concernés par certaines procédures ;
aux victimes d’accidents du travail (nom, prénom, sexe, catégorie socioprofessionnelle, adresse, nationalité, date de naissance, type d’accident, arrêt de travail, conséquence de l’accident, nature des lésions, siège des lésions et nature du contrat) ;
aux représentants du personnel élus ou désignés (nom, prénom, sexe, catégorie socioprofessionnelle, syndicat et mandat) ;
aux salariés protégés de par l’exercice d’un mandat représentatif faisant l’objet d’une demande d’autorisation de licenciement (nom, prénom, sexe, adresse, motif de la demande, existence ou non d’une mise à pied, catégorie socioprofessionnelle, syndicat et mandat) ;
à la situation professionnelle des salariés ;
aux salariés directement concernés et cités dans une décision individuelle (nom, prénom et adresse) ;
aux salariés concernés par un recours à l’encontre d’une décision de l’inspecteur du travail (nom, prénom et adresse) ;
aux données de santé dont les pathologies et les affections, données transmises par  la caisse nationale d’assurance maladie ;
à l’appartenance syndicale ;
à l’identité des personnes habilitées accompagnant l’agent de contrôle lors d’une intervention (nom, prénom, service) ;
à l’identité, la date et le lieu de naissance et la nationalité de la personne mise en cause dans un procès-verbal d’infraction et aux infractions et condamnations correspondantes. Lorsque le procès-verbal donne lieu à une proposition de transaction pénale, des données relatives aux ressources et charges de la personne mise en cause seront également collectées ;
à l’identité, la date et le lieu de naissance, la nationalité et les ressources et charges de la personne pour laquelle une amende administrative doit être prononcée ;
à l’identité, la date et le lieu de naissance, les ressources et charges de la personne convoquée pour une audition pénale ;
à l’identité des personnes physiques (contact dans l’entreprise) ;
à l’identité des agents (nom, prénom, service, adresse du service, numéro de section, fonction, téléphone, télécopie, adresse courriel) ;
au compte rendu d’activité de l’agent de contrôle (nombre d’interventions et type d’intervention par thème, par programme et par campagne, nombre de suites à intervention et types de suites à intervention, réunions et information du public) ;
aux activités hors section (absence, congés formation) ;
aux relations avec l’usager (permanence et nombre de visiteurs reçus) ;
aux données de connexion des agents.