AgentPublic/cnil huggingface dataset:
Elle recommande, en particulier, de protéger le site concerné notamment afin de détecter d'éventuelles attaques massives d'aspiration ou de copie du contenu en dehors des licences de réutilisation, ainsi que d'empêcher de porter atteinte à l'intégrité des bases de données constituées à titre historique. La Commission prend acte des mesures mises en place en novembre 2013 par le ministère tendant notamment à imposer la consultation et le téléchargement, image par image, afin de décourager le contournement des licences de réutilisation permettant d'obtenir un fonds d'archives complet en une seule action.
Elle invite néanmoins le ministère à mener une étude préalable des risques pour définir les mesures de sécurité à mettre en œuvre. Le périmètre de l'étude devrait considérer, d'une part, les risques d'atteinte à la sécurité des systèmes d'information et leurs impacts sur l'entité publique et, d'autre part, les risques d'atteinte aux données à caractère personnel et leurs impacts sur les libertés individuelles et collectives des personnes dont les données archivées sont mises à disposition. Cette étude de risques devrait pouvoir être communiquée sur demande à la Commission, qui doit être en mesure de vérifier à tout moment que des mesures adéquates de sécurité ont été mises en œuvre et sont améliorées en tant que de besoin.
Enfin, la Commission rappelle qu'il appartient au ministère de mettre à jour les mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le ministre de la Défense à mettre en œuvre des traitements de données à caractère personnel ayant pour finalités de collecter, numériser, indexer, conserver et de diffuser sur Internet des données à caractère personnel issues des archives dont il a la charge, aux fins de préservation de la mémoire des conflits contemporains et de mise à disposition d'informations à des fins historiques.
La Présidente
I. FALQUE-PIERROTIN
La Présidente 
[...] 
RECOMMANDE AR n° 2C 054 539 2680 8 
Références à rappeler dans toute correspondance :CTX 2013-044CTRL 2013-254C 
Paris, le 24 juillet 2014,
Monsieur le Directeur, 
Je fais suite à la décision n° 2014-001 que j'ai prise le 15 janvier 2014 mettant en demeure X qui exploite l'enseigne Y à Saint-Médard-en-Jalles, ainsi qu'à votre courrier en réponse daté du 2 juin 2014, reçu le 6 juin suivant. 
Au regard des éléments de réponse apportés, je vous informe que j'ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2013-254C. 
Je vous informe par ailleurs que s'il était constaté à l'occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourra être engagée à l'encontre de votre établissement conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. 
En tout état de cause, j'attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
A cette fin, je vous invite à étudier avec la plus grande attention la possibilité de désigner un correspondant Informatique et Libertés qui constitue un moyen efficace de veiller à la bonne application de la loi, tout en exonérant l'organisme qui s'en est doté de toute obligation de déclaration de ses fichiers. Vous trouverez toutes les informations nécessaires sur le site Internet de la Commission (www.cnil.fr). 
Le service des sanctions reste à votre disposition pour tout complément d'information. 
Je vous prie d'agréer, Monsieur le Directeur, l'expression de mes salutations distinguées. 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par la commune de Gujan-Mestras d'une demande d'autorisation concernant la mise en œuvre d'un dispositif d'exploitation d'images de véhicules collectées à partir du système de caméras de vidéoprotection de la commune ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de la sécurité intérieure, notamment ses articles L. 233-1, L. 233-2 et L. 252-1 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 18 mai 2009 portant création d'un traitement automatisé de contrôle des données signalétiques des véhicules ;Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie, par la commune de Gujan-Mestras, d'une demande d'autorisation concernant un dispositif de vidéoprotection couplé à un système de lecture automatisée des plaques d'immatriculation des véhicules.
Ce dispositif relève des dispositions de l'article L. 252-1 du code de la sécurité intérieure, qui soumettent à autorisation de la Commission les systèmes de vidéoprotection installés sur la voie publique dont les enregistrements sont utilisés dans des traitements automatisés permettant d'identifier, directement ou indirectement, des personnes physiques.
Plus précisément, ce dispositif permet d'analyser les flux vidéos issus de boîtiers de prise de vue afin de capturer et de lire en temps réel les plaques d'immatriculation des véhicules passant dans le champ des caméras de vidéoprotection. Mis en œuvre par la police municipale de Gujan-Mestras, il a pour objet de collecter et d'enregistrer dans une base de données les plaques d'immatriculation de tous les véhicules empruntant la voie publique filmée, ainsi que la photographie de ces derniers et l'horaire de son passage. Ces données, conservées pendant vingt-et-un jours, seront alors mises à disposition de la gendarmerie nationale, sur réquisition judiciaire, à des fins d'identification des auteurs d'infractions.
La Commission rappelle qu'en application des articles L. 233-1 et L. 233-2 du code de la sécurité intérieure, seuls les services de police et de gendarmerie nationales, ainsi que ceux des douanes, peuvent mettre en œuvre des dispositifs fixes ou mobiles de contrôle automatisé des données signalétiques des véhicules prenant la photographie de leurs occupants. Les finalités pour lesquelles de tels traitements peuvent être mis en œuvre sont limitativement énumérées à l'article L. 233-1 dudit code et concernent la prévention, la constatation et la répression d'infractions particulièrement graves, ainsi que, à titre temporaire, la préservation de l'ordre public. 
En l'état actuel des textes, les services de police municipale ne font pas partie des autorités légalement habilitées, en application des dispositions précitées du code de la sécurité intérieure, à mettre en œuvre des dispositifs de contrôle automatisé des données signalétiques des véhicules à des fins de recherche des auteurs d'infractions. 
En l'absence de base légale, l'autorisation sollicitée par la commune ne peut donc qu'être rejetée par la Commission.
Au demeurant, la Commission observe que le traitement a pour objet d'apporter aux services de police et de gendarmerie nationales des moyens d'investigation supplémentaires dans le cadre de leur mission de police judiciaire. Il poursuit ainsi une finalité de sécurité publique et de recherche d'infractions et est dès lors mis en œuvre pour le compte de l'Etat. Un tel traitement ne relève donc pas du régime de l'autorisation par la Commission, mais d'un acte règlementaire pris après avis motivé et publié de celle-ci, en application de l'article 26 de la loi du 6 janvier 1978 modifiée.
En outre, la Commission rappelle que la mise en œuvre d'un tel traitement devrait, en tout état de cause, respecter les principes établis par la loi du 6 janvier 1978 modifiée et répondre en particulier à l'exigence de proportionnalité. 
A cet égard, elle relève que l'éventuelle mise à disposition, sur demande ponctuelle et sur réquisition judiciaire, des données enregistrées dans un tel traitement ne saurait constituer une finalité déterminée, explicite et légitime au sens de l'article 6- 2° de la loi, dès lors que ces autorités constituent des tiers autorisés à accéder, dans le cas d'une procédure judiciaire, à tout traitement de données utile à la manifestation de la vérité.
De même, la Commission observe que la mise en œuvre d'un tel dispositif pourrait conduire à identifier tous les véhicules - et par conséquent leurs occupants - empruntant la voie publique pour entrer ou sortir du territoire d'une commune. Cette collecte massive de plaques d'immatriculation et de photographies des véhicules sans justification particulière serait de nature, par son caractère excessif, à constituer un manquement aux obligations découlant du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée. 
Enfin, elle rappelle que les dispositions législatives précitées du code de la sécurité intérieure limitent la durée de conservation des données signalétiques des véhicules et de la photographie de leurs occupants à huit jours, sauf en cas de rapprochement positif avec les traitements automatisés des données relatives aux véhicules volés ou signalés ainsi que le système d'information Schengen. La Commission considère que toute durée de conservation supérieure serait dès lors contraire aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la Commission refuse la mise en œuvre, par la commune de Gujan-Mestras, d'un traitement automatisé ayant pour finalité le contrôle des données signalétiques des véhicules collectées à partir de caméras de vidéoprotection.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet d'arrêté relatif à la mise en oeuvre d'un téléservice de l'administration dénommé  ma démarche Fonds social européen  ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu le règlement (CE) n° 1081/2006 du Parlement européen et du Conseil du 5 juillet 2006 modifié relatif au Fonds social européen, et abrogeant le règlement (CE) n° 1784/1999 ;Vu le règlement (CE) n° 1083/2006 du Conseil du 11 juillet 2006 modifié portant dispositions générales sur le Fonds social européen de développement régional, le Fonds social européen et le Fonds de cohésion, et abrogeant le règlement (CE) n° 1260/1999 ;Vu le règlement (CE) n° 1828/2006 de la Commission du 8 décembre 2006 modifié établissant les modalités d'exécution du règlement (CE) n° 1083/2006 du Conseil portant dispositions générales sur le Fonds européen de développement régional, le Fonds social européen et le Fonds de cohésion, et du règlement (CE) n° 1080/2006 du Parlement européen et du Conseil relatif au Fonds européen de développement régional ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et
à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-11 (4°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2007-1303 du 3 septembre 2007 modifié fixant les règles nationales d'éligibilité des dépenses des programmes cofinancés par les fonds structurels pour la période 2007-2013 ;Vu le dossier et ses compléments ;Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :Sur le fondement de l'article 27-11 (4°) de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'un projet d'arrêté portant création d'un téléservice de l'administration dénommé  ma démarche Fonds social européen (FSE) .Sur la finalité du traitement :Le téléservice  ma démarche FSE  vise à dématérialiser le dépôt, la recevabilité et l'instruction des demandes de financement FSE, d'une part, ainsi que le dépôt des bilans d'exécution, leur recevabilité et les rapports de contrôle de service fait pour une remontée fiabilisée des données à la Commission européenne, d'autre part.
L'article 1er du projet d'arrêté étudié par la commission mentionne que le téléservice  ma démarche FSE  poursuit les finalités suivantes :-  faciliter l'accès et simplifier la gestion du Fonds social européen (FSE) en France ;- améliorer la qualité du service rendu aux usagers ;- faciliter le traitement et la prise en charge des demandes et des réalisations par les services gestionnaires concernés ;- faciliter l'élaboration des traitements de données des demandes de subvention ;- mettre en cohérence les réseaux d'information déjà existants ;- faciliter les contrôles croisés entre les Fonds européens conformément à la réglementation communautaire .
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur la nature des données traitées :Les données à caractère personnel collectées par l'intermédiaire du téléservice  ma démarche FSE  concernent les membres des structures ayant conclu une convention avec le FSE et sont relatives :
- à l'identification des personnes physiques ;- à la vie professionnelle ;- à des informations d'ordre économique et financier ;- au numéro d'inscription des personnes au répertoire national des personnes physiques (NIR).
S'agissant du NIR, la commission prend acte que cette donnée peut figurer de façon incidente sur des documents que le porteur de projet transmet au service gestionnaire en qualité de pièces justificatives. Elle relève toutefois que cette donnée n'est pas saisie en tant que telle dans le téléservice  ma démarche FSE  et ne peut être utilisée comme un critère de requête. Les NIR collectés ne sont pas transmis à des organismes tiers, ni exploités, ni utilisés à titre d'identifiant.La commission considère que la collecte et le traitement des données à caractère personnel mentionnées à l'article 2 du projet d'arrêté sont légitimes, pertinents et non excessifs au regard des finalités poursuivies.
Sur la durée de conservation des données :Le programme national FSE de la politique de cohésion de l'Union européenne est programmé pour sept ans. Sa clôture intervient au mieux deux ans après la fin de la période de programmation et la Commission européenne est en mesure de réaliser des contrôles pendant dix ans à compter de la clôture du programme.Les données à caractère personnel sont ainsi conservées pendant dix-neuf ans, notamment pour permettre la réalisation de contrôles relatifs à l'utilisation des fonds alloués par le FSE.La commission considère que cette durée de conservation n'excède pas celle qui est nécessaire à l'accomplissement des finalités poursuivies.
Sur les destinataires des données :Les données à caractère personnel traitées seront accessibles au personnel habilité des gestionnaires du Fonds social européen (autorités de gestion, autorités de gestion déléguées et organismes intermédiaires), d'une part, et celui des autorités et services chargés de contrôler la bonne utilisation du Fonds social au niveau national et au niveau communautaire, d'autre part.La commission considère que ces destinataires ont un intérêt légitime à accéder aux données du téléservice dénommé  ma démarche FSE .
Sur l'information des personnes :Les personnes physiques concernées sont informées des éléments mentionnés à l'article 32 de la loi du 6 janvier 1978 modifiée par une mention sur le site internet du téléservice.La commission considère que les mesures prévues au titre de l'information des personnes physiques sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes :Les droits d'accès, de rectification et d'opposition s'exercent auprès des gestionnaires du Fonds social européen (autorités de gestion, autorités de gestion déléguées et organismes intermédiaires).La commission considère que les droits d'accès, de rectification et d'opposition sont mis en œuvre conformément aux dispositions de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :La commission rappelle que le téléservice  ma démarche FSE  doit se conformer au référentiel général de sécurité (RGS). Elle prend acte que le responsable de traitement, dans sa démarche de conformité au RGS, a réalisé une analyse des risques présentés par le traitement et mis en œuvre des mesures permettant de traiter les risques considérés comme étant inacceptables. La commission considère que cette démarche permet de s'assurer que les mesures de sécurité mises en place seront proportionnées aux risques identifiés. Elle rappelle néanmoins que, pour être conforme à l'article 34 de la loi du 6 janvier 1978 modifiée, ce type d'analyse doit prendre explicitement en compte les risques qui portent sur les personnes physiques concernées par le traitement. La commission rappelle enfin que l'homologation du téléservice au RGS doit être prononcée par l'autorité administrative, d'une part, et que cette décision d'homologation doit être accessible à partir de la page de connexion au téléservice, d'autre part.Concernant les modalités d'authentification des utilisateurs, la commission relève que ses recommandations ont été mises en œuvre par le ministère.Concernant les mesures de traçabilité, un journal des connexions à l'application permettra de détecter d'éventuelles tentatives d'intrusions. Par ailleurs, un journal des accès aux données permettra de tracer l'ensemble des opérations de création ou de modification de données.
Ces journaux seront conservés pendant six mois conformément aux recommandations de la commission.Concernant les supports de stockage usagés, la commission observe que ces derniers seront détruits par des prestataires spécialisés.Concernant la transmission de données à caractère personnel par internet, la commission observe que les données transmises seront chiffrées au moyen du protocole  https  qui permet de garantir la confidentialité des données. La commission rappelle que cette mesure doit être revue régulièrement afin de rester à l'état de l'art.Les autres mesures de sécurité n'appellent pas d'observation de la part de la commission.
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de M. Jean-François CARREZ ;
Et
Composée de M. Alexandre LINDEN, Vice-président, Mme Marie-Hélène MITJAVILE, M. Sébastien HUYGUE et M. Maurice RONAI, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la décision n°2014-102C du 6 mai 2014 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la société X ; 
Vu la décision n°2014-103C du 6 mai 2014 de la Présidente de la Commission nationale de l'informatique et des libertés ordonnant une mission de vérification auprès de la société Y ;
Vu les procès-verbaux de contrôle sur place n°2014-102 effectué au sein de la société X le 12 mai 2014 ; n°2014-102/2 effectué au sein de la société Z le 12 mai 2014 et n° 2014-103-1 effectué au sein de la société Y le 14 mai 2014 ; 
Vu la décision de la Présidente de la Commission portant désignation d'un rapporteur, en date du 23 mai 2014 ; 
Vu le rapport de M. Jean-Luc VIVET, commissaire rapporteur, notifié à la société X adressé par porteur contre reçu le 27 mai 2014 ; 
Vu la demande de huis clos datée du 6 juin 2014 à laquelle il a été fait droit par courrier en date du 11 juin 2014 ; 
Vu les observations écrites versées par la société X le 26 juin 2014, ainsi que les observations orales formulées lors de la séance de la formation restreinte ; Vu les autres pièces du dossier ;
Ayant entendu, lors de la séance de la formation restreinte du 03 juillet 2014 : - M. Jean-Luc VIVET, commissaire, en son rapport ;- Mme Catherine POZZO DI BORGO, Commissaire du Gouvernement adjoint;- M. X ;- Mme Y ;- M. Z;- M. XX ;- Mme YY ; 
Les représentants de la société X ayant eu pris la parole en dernier ; A adopté la décision suivante : 
I. FAITS ET PROCEDURE
Le 25 avril 2014, et en application de l'article 34 bis de la loi du 6 janvier 1978 modifiée, la société X (ci-après la société) a notifié à la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) une violation de données à caractère personnel ayant impacté environ 1.340.000 de ses clients.
Celle-ci est intervenue à la suite d'un dysfonctionnement du serveur du prestataire chargé de réaliser certaines campagnes de marketing direct et a affecté les données relatives aux nom, prénom, date de naissance, adresse électronique et numéro de téléphone fixe ou mobile des clients. 
La société X a informé ses clients de cette fuite de données, notamment via son site Internet et par l'envoi de courriels, les incitant à la prudence au regard des tentatives de phishing. 
A compter du 5 mai 2014, la presse a repris l'information qui a fait l'objet de nombreux articles. 
En application des décisions de la Présidente de la CNIL n°2014-102C et 2014-103C du 6 mai 2014, une délégation a procédé à une mission de contrôle dans les locaux de la société et de ceux de son sous-traitant et de son prestataire secondaire intervenant dans le cadre des campagnes de marketing direct les 12 et 14 mai 2014. 
S'agissant de la violation de données personnelles, la délégation a été informée que celle-ci avait été révélée à la société par l'un de ses clients. Le lien de désinscription figurant sur un courriel de prospection permettait, par une modification de l'adresse URL, d'accéder à un serveur du prestataire secondaire contenant 700 fichiers relatifs aux clients et prospects de la société X. Ces fichiers ont été aspirés les 4 et 5 mars 2014 depuis une adresse IP non identifiée justifiant un dépôt de plainte de la société sur le plan pénal.