AgentPublic/cnil huggingface dataset:
3. Le 24 octobre 2007, la CNIL a décidé de procéder à une seconde mission de contrôle auprès de la société X, sise désormais [...], afin de vérifier si elle s'était réellement mise en conformité avec les termes de la mise en demeure, en particulier si le précédent outil était effectivement abandonné et si la nouvelle base de données était conforme aux exigences de la loi du 6 janvier 1978 modifiée.
Lorsque les agents de la CNIL ont opéré le contrôle pour vérifier la conformité d'un traitement mis en œuvre par la société X aux exigences de la loi du 6 janvier 1978 modifiée, ils ne se sont pas limités à la vérification d'un seul fichier mais se sont intéressés à toutes les applications informatiques poursuivant la ou les finalités du traitement concerné.
La délégation de la Commission a constaté que l'application SEP-SI n'a pas vocation à perdurer au sein de la société X mais qu'elle devait cependant être maintenue jusqu'à la fin du mois d'octobre 2007, s'agissant de certaines opérations relatives à la paie et à la comptabilité d'un client. Cette pratique est contraire à ce qui était indiqué dans le courrier de la société X en date du 10 septembre 2007.
Il a par ailleurs été relevé que la société X utilisait principalement le système d'information KHEOPS, qui était l'outil exploité par la société W. Cette application contenait les fiches du personnel actuel de la société X, dont celles des personnes ayant travaillé pour la société W, mais ne comprenait plus les données personnelles relatives aux candidatures.
En outre, l'exploitation des extractions opérées lors de ce contrôle, a démontré que des commentaires non pertinents et de nature subjective, associés aux fiches du personnel, figuraient toujours dans les systèmes d'information SEP-SI et KHEOPS, mis en œuvre par la société X. Ainsi, à titre d'exemple, les commentaires suivants ont pu être relevés : - sur le comportement des personnes : "ne pas lui proposer de ponctuel très conne", "pas sympa", "cerveau de dinosaure", "a l'air très chiante", "grosse menteuse", "ne pas appeler avant 16h car mari très con", "pb obsédé sexuel", "c'est dame qui pue", etc. ;- sur les vols commis par les personnes : "en cours de licenciement vol", "ne plus jamais faire travailler", "a volé dans 2 magasins", "interdit tout magasin accuse vol", etc. ;- sur l'état de santé des personnes : "ne jamais faire travailler", "alcoolique", "malade d'un cancer mais veut reprendre le W en sept 2007", "à éviter : dépressive", "travaille avec bonnet cause de névralgies", etc. ;- sur les relations personnelles ou familiales négatives des personnes : "attention femme A. S.", "copain de la sœur à O. M.", etc. ;- sur les procédures prud'homales en cours : "ne plus faire travailler", "gros PB Prud'homme", "nous a emmené au prud'homme", etc. - autres commentaires de nature subjective : "trop vieille NESTLE", "Bien mais un peu âgée", "par sur l'alcool (religion oblige)", "à ne jamais faire travailler", "A éviter fortement", etc.
4. Sur la base des constatations opérées par la CNIL lors de cette seconde mission de contrôle, une proposition de sanction a été notifiée à la société X, le 9 novembre 2007. Il ressortait des conclusions du rapporteur que les manquements identifiés par la CNIL demeuraient à l'issue de la seconde mission de contrôle sur place. 
Le 7 décembre 2007, la société X a adressé à la CNIL ses observations en réponse.
a) S'agissant de l'obligation de déclaration du traitement mis en œuvre par la société X, la Commission observe qu'elle n'a pas effectué de modification de l'engagement de conformité à la norme simplifiée n° 7 relative à la paie et la gestion des personnels, enregistré auprès de la CNIL en 1981, ni de déclaration normale s'agissant du traitement dénommé KHEOPS.
Dans ses observations écrites en date du 7 décembre 2007, la société X a précisé que l'application KHEOPS est en cours d'adaptation et que la déclaration de ce traitement n'est qu'au stade de projet dans la mesure où les annexes techniques ne peuvent être encore remplies.
Dans ces conditions, la Commission estime que la société X ne s'est pas conformée, sur ce point, à la mise en demeure qui lui a été adressée car le traitement KHEOPS a été mis en œuvre depuis juillet 2007. Or, le chapitre IV de la loi du 6 janvier 1978 prévoit précisément les formalités à accomplir auprès de la CNIL préalablement à la mise en oeuvre des traitements.
b) La délégation de la CNIL a constaté, lors de la seconde mission de contrôle, que la société X n'avait pas pris les mesures nécessaires visant à mettre fin au manquement à l'obligation de pertinence, d'adéquation et du caractère non-excessif des données au regard de la finalité du traitement, objet de la mise en demeure. En effet, les commentaires cités plus haut ne sont pas conformes à la loi du 6 janvier 1978 modifiée, notamment à ses articles 6 et 8, figuraient toujours dans les systèmes d'information SEP-SI et KHEOPS. 
Dans ses observations écrites du 7 décembre 2007 et orales, prononcées lors de l'audience du 11 décembre 2007, la société X a affirmé à la formation restreinte de la CNIL avoir supprimé l'intégralité des commentaires litigieux.
La Commission observe que la société X produit, à l'appui de ses observations écrites du 7 décembre 2007, une facture établie par la société S, le 22 novembre 2007, qui précise la suppression ou la transformation de zones inutilisées dans l'application KHEOPS. Dans ses observations orales à l'audience du 11 décembre 2007, l'avocat de la société X a indiqué que ces zones ne permettraient plus que l'enregistrement du courriel de la personne concernée. La Commission rappelle que lors du contrôle du 24 octobre 2007, la représentante de la société X avait déjà affirmé que les zones commentaires ne servaient qu'à l'enregistrement du courriel. La délégation de la CNIL avait pourtant constaté que ces zones commentaires comportaient les appréciations précitées. 
La délégation de la CNIL a par ailleurs relevé, lors de la seconde mission de contrôle, que les fiches du personnel pouvaient être marquées des statuts "incident bloquant" ou "incident majeur" lorsqu'un employé connaît un problème avec un client ou dans un magasin. L'événement bloque toute relation professionnelle entre les personnes concernées. La société X exclut donc le salarié d'un droit ou d'un contrat, au sens de la loi du 6 janvier 1978 modifiée.
A la suite de plusieurs incidents, la fiche d'un intervenant peut être marquée du statut "inactif" si la société X décide de ne plus l'employer. La personne n'apparaît plus, au niveau de l'interface, dans la liste du personnel à qui la société va proposer des missions.
Dans ses observations en date du 7 décembre 2007, la société X a affirmé que le statut "incident bloquant" a été supprimé, tout en maintenant le statut "incident majeur" afin de pouvoir signaler les éventuels problèmes intervenus entre un client et son personnel. Lors de l'audience du 11 décembre 2007, la société X a affirmé que le statut "inactif" a également été retiré du système d'information et qu'elle réfléchissait sur les moyens de formaliser les statuts "incident majeur", en objectivant les commentaires pouvant être associés.
La Commission constate que la société n'a donc pas renoncé au statut "incident majeur" alors même qu'elle n'en a pas défini les critères d'inscription de ces incidents. 
La CNIL observe que la société X n'a pas mis en place de procédures permettant d'indiquer ou de déterminer les critères objectifs permettant aux personnes, amenées à utiliser la base de données, de connaître les cas pour lesquels les statuts incident majeur doivent être inscrits dans les fiches du personnel. 
La Commission considère par conséquent que la société X ne s'est pas conformée à la mise en demeure d'apporter toute justification (sensibilisation du personnel, contrôle réguliers du contenu des fichiers) permettant à la CNIL de considérer que les manquements constatés ne se reproduiront pas à l'avenir.
c) Lors de la mission de contrôle en date du 24 octobre 2007, la délégation de la CNIL a constaté qu'aucune procédure interne n'a été mise en œuvre au sein de la société X afin d'informer les employés des finalités du traitement au sein duquel sont enregistrées leurs données personnelles, et notamment les évaluations les concernant. De même, les intervenants n'étaient pas informés de l'existence des statuts "incident majeur", "incident bloquant" et "inactif".
En effet, la CNIL a pu relever que les mentions prévues à l'article 32 de la loi du 6 janvier 1978 ne figurent ni sur les contrats intermittents à durée déterminée, qui représentent la majorité des contrats conclus, ni sur les formulaires de collecte de données utilisés pour le recrutement de personnel via le site Internet de la société. Ils ne sont pas plus affichés dans les locaux de la société X.
Dans ses observations écrites en date du 7 décembre 2007 et orales, prononcées lors de l'audience du 11 décembre 2007, la société X a également précisé qu'elle avait ajouté aux contrats d'embauche la mention : Conformément à la Loi informatique et Libertés du 6 janvier 1978, le salarié dispose d'un droit d'accès et de rectification pour toute information le concernant en s'adressant au siège social .
La société X a cependant précisé qu'elle réfléchissait à la mise en place d'une procédure interne permettant l'information des candidats à un emploi des finalités du traitement et des évaluations les concernant.
Dans ces conditions, la Commission estime que la société X ne s'est que partiellement conformée, sur ce point, à la mise en demeure qui lui a été adressée.
d) Lors de la mission de contrôle du 24 octobre 2007, la délégation de la CNIL a également constaté que les personnes ayant un statut "inactif" sont celles ne souhaitant plus travailler pour le compte de la société X, celles avec qui la société ne veut plus travailler à la suite de plusieurs incidents et celles ne travaillant plus depuis plus de 18 mois. Elles représentent 48 867 fiches de personnel pour un total de 68 127 personnes enregistrées dans la base KHEOPS.
Or, il apparaît que le fichier des personnes marquées du statut "inactif" contient des enregistrements des intervenants ne travaillant plus pour la société X depuis 1996.
De plus, une personne ayant le statut "inactif" peut être réactivée à tout moment dans la liste des personnes marquées du statut "actif", par le biais d'un traitement manuel des utilisateurs de l'outil de gestion du personnel de la société X.
Dans ses observations du 7 décembre 2007, la société X a précisé que les données à caractère personnel qu'elle traitait devaient être conservées pendant une durée minimale de 10 ans, afin de conserver la preuve de l'intervention de son personnel chez ses clients. Lors de l'audience du 11 décembre 2007, elle a également indiqué que le statut "inactif" a été supprimé de l'application KHEOPS et qu'elle réfléchissait sur la définition d'une durée de conservation ainsi que sur la mise en place d'une politique d'archivage.
La Commission considère qu'à ce jour aucune durée de conservation n'a été définie par la société X, s'agissant du traitement ayant pour finalité la gestion du personnel, puisqu'elle n'a déterminé qu'une durée minimale de conservation sans apporter de limite dans le temps ni d'explication justifiant une durée de 10 ans. S'agissant de la politique d'archivage, elle n'est qu'au stade de projet.
La Commission estime par conséquent que la société X ne s'est pas non plus conformée à la mise en demeure de la CNIL de définir une durée de conservation adéquate et proportionnée à la finalité du traitement.
5. Dans la proposition de sanction, le rapporteur a considéré que la société X était de mauvaise foi dans la mesure où les éléments communiqués par la société X, dans le courrier adressé le 10 septembre 2007 à la CNIL, sont en contradiction avec ce qui a pu être constaté lors de la mission de contrôle du 24 octobre 2007. En soutenant qu'elle s'était conformée aux dispositions de la loi du 6 janvier 1978 modifiée et en indiquant avoir abandonné l'application SEP-SI au profit du système automatisé de gestion du personnel, initialement mis en œuvre par la société W, le rapporteur a estimé que la société X a délibérément apporté des réponses erronées à la mise en demeure adoptée par la Commission le 10 juillet 2007 et a sciemment souhaité maintenir l'opacité de sa situation.
La société X, tant dans ses observations écrites du 7 décembre 2007 que lors de l'audience du 11 décembre 2007, a indiqué la situation dans laquelle elle se trouvait lorsqu'elle a répondu à la mise en demeure, notamment la fusion avec la société W et les conséquences que cela a engendré. 
Il a été, en revanche, décidé par la formation restreinte de ne pas retenir la mauvaise foi.
En conséquence, la Commission décide de faire application des dispositions des articles 45 et suivants de la loi du 6 janvier 1978 modifiée le 6 août 2004 et de prononcer à l'encontre de la société X, sise [...], compte tenu de la gravité des manquements, une sanction pécuniaire de 40.000 euros (quarante mille euros), qui sera rendue publique. 
 
Le président,
Alex TÜRK.
(avis n° 1268849)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de la justice, le 21 novembre 2007 d’un projet d’arrêté autorisant la création d’un traitement de numérisation des procédures pénales ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu le code pénal ;
Vu le code de procédure pénale ;
Vu le code des douanes, notamment son article 343bis ;
Vu le livre des procédures fiscales, notamment ses articles 82C et L101 ;
Vu la loi n°2007-291 du 5 mars 2007 tendant à renforcer l’équilibre de la procédure pénale ;
Vu le décret n°2007-1388 du 26 septembre 2007 pris pour l’application de la loi n°2007-297 du 5 mars 2007 relative à la prévention de la délinquance et modifiant le code pénal et le code de procédure pénale ;
Vu le décret n°2007-1620 du 15 novembre 2007 modifiant le code de procédure pénale et relatif à l’utilisation des nouvelles technologies ;
Vu la convention entre le ministère de la justice et le conseil national des barreaux concernant le développement des nouvelles technologies de communication dans le débat judiciaire entre les tribunaux de grande instance et les avocats, signée le 28 septembre 2007 ;
Après avoir entendu M. GIQUEL, vice-président, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie le 21 novembre 2007 par le ministère de la justice d’un dossier de demande d’avis et d’un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé « numérisation des procédures pénales ».
Le dispositif envisagé s’inscrit dans un plan de développement des nouvelles technologies dans les juridictions, visant à moderniser le fonctionnement de l’institution judiciaire.
Il devrait se traduire par le déploiement, à compter du 1er janvier 2008, dans toutes les juridictions (du premier comme du second degré), de matériels leur permettant de numériser l’ensemble des pièces des procédures pénales dont elles sont saisies.
Ce traitement, qui consisterait en la  numérisation des pièces de procédure, leur conversion en documents  sous format texte et comprendrait par le moyen d’un logiciel de reconnaissance optique des caractères (OCR),  vise à faciliter et améliorer le traitement des dossiers, diminuer les délais de traitement de certaines procédures (grâce, notamment, aux outils de recherche automatisés utilisables sur les documents électroniques), améliorer l’organisation du travail dans les juridictions, accroître la rapidité et la qualité de la transmission des dossiers pénaux entre les juridictions et en direction des auxiliaires de justice, notamment les avocats. 
Sur les finalités du traitement
La Commission observe que le traitement vise à améliorer les modalités de fonctionnement des juridictions répressives, en réduisant les délais de traitement des procédures, et à faciliter l’accès des parties aux éléments de la procédure, favorisant ainsi l’exercice des droits de la défense et le débat contradictoire.
La Commission considère que les finalités du traitement envisagé sont légitimes. Elle tient néanmoins à souligner que le plein aboutissement  du dispositif implique non seulement une profonde adaptation du fonctionnement des juridictions mais aussi une prise de conscience, par tous les utilisateurs, des risques attachés aux modalités nouvelles de circulation de l’information qui résultent de sa mise en œuvre. Dés lors, la Commission observe que le calendrier de son déploiement est particulièrement rapide. 
Sur la durée de conservation des données 
Selon l’article 3 du projet d’arrêté, les informations enregistrées dans le traitement seront conservées jusqu’à ce que la juridiction se dessaisisse des dossiers et, au plus tard, jusqu’à la fin de l’exécution des peines prononcées.
La Commission prend acte de ce que le ministère de la justice n’entend pas utiliser le traitement considéré comme un support d’archivage électronique.
Cependant, la Commission estime que la conservation dans un système de « gestion électronique de documents » (GED) de l’ensemble des pièces d’une procédure jusqu’à l’exécution des peines prononcées dans le cadre de ladite procédure doit être justifiée par la finalité du traitement.
Si le ministère de la justice justifie cette durée par la modernisation des conditions d’exercice des missions du juge de l’application des peines, la Commission considère que l’accès aux pièces doit se limiter à celles nécessaires au suivi de l’application des peines prononcées dans le cadre d’une procédure, conformément aux prescriptions de l’article 4 du projet d’arrêté qui prévoit que les magistrats et fonctionnaires habilités des greffes à traiter des procédures dont ils sont saisis, ont accès aux informations enregistrées dans le traitement qui sont « strictement nécessaires à l’exercice de leurs attributions ».
La Commission prend  acte de ce qu’aucun mécanisme de transmission de tout ou partie des pièces d’une procédure, sous la forme d’une copie numérisée, n’est prévu depuis les parquets et parquets généraux en direction des services centraux du ministère de la justice.
Sur les Sécurités du dispositif
La Commission prend acte de ce que les utilisateurs du traitement seraient authentifiés par un identifiant et un mot de passe et de ce que les habilitations seraient données pour chaque dossier à un utilisateur ou à un groupe d’utilisateurs bien définis.
Elle prend également acte de ce que les documents ne circuleraient que sur les réseaux sécurisés de la justice (RPVJ) et des avocats (RPVA). 
La Commission relève que les conditions de conservation et de transmission des données sont conformes à ses recommandations.
Dans la mesure où le traitement considéré devrait être mis en œuvre dans toutes les juridictions et pris en charge financièrement par ces dernières, il conviendra de veiller à ce que les moyens qui y sont consacrés puissent garantir le maintien dans le temps d’un haut niveau de sécurité et de fiabilité
Le président,
Alex TURK
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique et notamment les articles L. 6321-1, R.1111-9 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, et notamment ses articles 8-IV et 25 ; 
Vu la loi n° 2007-127 du 30 janvier 2007 ratifiant l'ordonnance n° 2005-1040 du 26 août 2005 relative à l'organisation de certaines professions de santé et à la répression de l'usurpation de titres et de l'exercice illégal de ces professions et notamment son article 25 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le décret n° 2002-1463 du 17 décembre 2002 relatif aux critères de qualité et conditions d'organisation, de fonctionnement ainsi que d'évaluation des réseaux de santé ;
Sur le rapport de M. Jean-Pierre de LONGEVIALLE, commissaire, et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, le centre hospitalier Pierre Oudot à mettre en œuvre un traitement de partage d’informations médicales à travers du portail internet régional SIS Rhône-Alpes, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
Le Centre Hospitalier Pierre Oudot (38) 
Finalités
- Mise à disposition et collecte d’informations médicales sur les patients pris en charge par le centre au travers du portail SIS Rhône-Alpes (Système d’information santé de la région Rhône-Alpes).- Le site internet du SISRA regroupe  :- un outil d’identification régionale du patient, le  « STIC » (Serveur Télématique d’Identité Communautaire) qui a pour objectif de délivrer et de gérer pour chaque patient un identifiant régional (IPPR) ;- un outil de partage des dossiers des patients, assimilable à un moteur de recherche sécurisé qui permet à des professionnels de santé de mettre à disposition leurs données sur les patients et d’accéder à celles de leurs confrères sur autorisation du patient dénommé « DPPR » (Dossier Patient Partagé et Réparti). Les données de santé des patients restent stockées au sein des structures de santé.- Le centre hospitalier Pierre Oudot souhaite utiliser les fonctionnalités du DPPR et mettre à disposition ses données avec l’accord des patients concernés.
Données traitées
- Concernant les patients : données d’identification (nom, prénom, sexe, date et lieu de naissance, IPPR), situation familiale, adresse, habitude de vie et comportement, données administrative sur le séjour, données médicales (état général du patient, antécédents et traitements médicamenteux, examens cliniques, courriers, comptes rendus opératoires, résultats d’analyses sanguines) ;- Concernant les professionnels de santé : nom, prénom, spécialité, n° d’identification, coordonnées professionnelles, date d’adhésion au dispositif
Destinataires
Les professionnels de santé adhérant au DPPR pour les seuls patients qu’ils suivent.
Information et droit d’accès
- Remise d’un document d’information au patient et d’une fiche de recueil de consentement,- Exercice du droit d’accès auprès de la direction du centre hospitaliser Pierre Oudot, du médecin traitant ou du personnel du bureau des entrées.
Caractéristiques particulières du traitement
- Accès aux données via internet sur le portail régional SIS Rhône-Alpes : www.sante-ra.fr- Haut niveau de cryptage du transport et des données- L’accès aux dossiers des patients par une carte professionnelle de santé ou à titre transitoire pendant un délai maximum de trois ans à compter de la publication du décret du 15 mai 2007 relatif à la confidentialité des informations médicales par un identifiant associé à un mot de passe.
Observations propres au traitement