AgentPublic/cnil huggingface dataset:
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie. 
Sur les destinataires
Les données sont accessibles :
au personnel habilité de l’EPCI  « Morlaix Communauté » ;
aux membres de droit de l’instance partenariale locale de coordination du logement des populations défavorisées animée par l’EPCI « Morlaix Communauté ».
La Commission considère que ces destinataires ont un intérêt légitime à connaître des données traitées.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur les formulaire de collecte.Les droits d’accès et de rectification s’exercent auprès du service « Habitat Logement » de l’EPCI « Morlaix Communauté » (2B voie d’accès au port, BP 97121, 29671 Morlaix Cedex).  La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations et, notamment, que les mots de passe utilisés sont d’un niveau de complexité suffisant.Elle prend également acte du fait que le traitement est accessible uniquement sur l’intranet du responsable de traitement.Des mécanismes de gestion des habilitations permettent de limiter le périmètre des données auxquelles les utilisateurs peuvent accéder.Les autres mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Sur les autres caractéristiques du traitement
Les données à caractère personnel sont conservées jusqu’au règlement de la situation des personnes concernées dans la limite d’un an.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, l’établissement public de coopération intercommunale « Morlaix Communauté » à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1518107)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’association Plaisir Jeunesse d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’accompagnement et l’orientation des personnes suivies,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  Madame Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
L’association Plaisir Jeunesse est une association à but non lucratif régie par la loi du 1er juillet 1901.Elle mène une action éducative auprès de personnes âgées de 11 à 25 ans confrontées à des difficultés sociales afin de faciliter leur insertion sociale.L’action de l’association s’inscrit dans le cadre d’une convention tripartite signée avec le Conseil général des Yvelines et la Mairie de Plaisir, étant précisé que cette dernière finance son budget à hauteur de 20 % et que la part restante est assurée par le Conseil général des Yvelines.
Sur la finalité
La finalité du traitement vise à l’accompagnement et l’orientation des personnes suivies par l’association Plaisir jeunesse.La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.Elle estime qu’il y a lieu de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés comportant des données permettant d’apprécier les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernent les personnes suivies par l’association Plaisir Jeunesse et sont relatives à :
des données d’identification,
la vie personnelle (situation familiale),
des appréciations sur les difficultés sociales des personnes.
La Commission considère que les données collectées sont pertinentes, adéquates et non excessives au regard de la finalité poursuivie. 
Sur les destinataires
Seuls les membres habilités de l’association Plaisir Jeunesse, chacun pour ce qui le concerne, peuvent accéder aux données à caractère personnel collectées.La Commission considère que ces destinataires ont un intérêt légitime à accéder à ces données.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par oral et par affichage.Les droits d’accès et de rectification s’exercent auprès du club de prévention spécialisée de l’association Plaisir Jeunesse.  Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes. 
Sur les mesures de sécurité
La Commission rappelle que l’authentification des utilisateurs du traitement doit respecter ses préconisations. Les mots de passe utilisés pour se connecter au traitement doivent ainsi être d’un niveau de complexité suffisant (8 caractères avec des lettres minuscules, majuscules, des chiffres et des caractères spéciaux) et renouvelés régulièrement.Le traitement doit également comporter une fonctionnalité de journalisation des opérations de consultation, création et modification des données à caractère personnel. Ces journaux de connexion doivent être conservés pendant 6 mois.La Commission prend acte que le traitement ne sera accessible qu’à partir d’un poste informatique déconnecté de tout réseau interne ou externe.Les autres mesures de sécurité n’appellent pas d’observation de la Commission.
Sur les autres caractéristiques du traitement
Les données sont conservées au maximum pendant 2 ans à compter du dernier contact avec la personne concernée.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’association Plaisir Jeunesse à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n°1493311)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société BT France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention et la détection des fraudes ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-5° ;
Vu le décret n°2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Emmanuel de GIVRY, Commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
BT France est la succursale française de British Telecom, qui est l’opérateur historique des télécommunications britanniques. Son activité entre donc dans le champ de la gestion des réseaux de télécommunications et du conseil en télécommunication.Le traitement dénommé FBS SERV s’inscrit dans l’obligation de BT France de se conformer à la loi britannique prévoyant des dispositions sur les infractions en matière de corruption et d’autres fins connexes du 8 avril 2010 (UK Bribery Act). Elle  dispose notamment qu’une infraction commise par une entreprise britannique n’importe où dans le monde peut être sanctionnée. Ce traitement est donc dédié à la gestion des fraudes au sein de BT.
Sur la finalité
Le traitement FBS SERV répond à une double finalité. D’une part, il permet de gérer l’ensemble des informations relatives aux audits internes sur les éléments suivants : notes de frais, frais de voyage, facturation téléphonique professionnelle, achats faits pour le compte de BT France, étude de cohérence entre la paie et le système de gestion du personnel, paiements des heures supplémentaires, bonus et commissions.D’autre part, le traitement permettra de détecter des montants abusifs ou des comportements contraires à la politique et aux procédures de BT France (au moyen du traitement des anomalies ou infractions constatées sur la base des barèmes mis en place). Il permettra ainsi la détection d’éventuelles fraudes internes, enregistrées dans le FBS SERV uniquement si l’étude des informations résultant de ces audits établit l’existence d’une irrégularité avérée. Le traitement ne constitue pas un dispositif d’alerte professionnelle : son alimentation est uniquement assurée par des audits internes.La Commission considère que cette finalité est déterminée, explicite et légitime. 
Sur les données traitées
Les données traitées sont relatives :
à l’identification des agents concernés : nom, prénom, date et lieu de naissance, numéro d’identification de l’employé (UIN) ;
à la situation familiale des agents concernés ;
à leur vie professionnelle : CV, situation professionnelle, notes de frais, salaires, bonus et commissions.
L’ensemble des données collectées sont obtenues à partir du système de gestion du personnel (Peoplesoft) et du système de gestion de la paie de BT France. A cet égard, la Commission prend acte qu’une consultation préalable des représentants du personnel a été effectuée.
Les données traitées sont objectives, ne comportent aucune donnée d’appréciation subjective ni aucune appréciation sur le comportement de la personne concernée. Seuls les faits permettant d’apprécier la présence ou l’absence de fraudes sont saisis.
La Commission considère que les données collectées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les destinataires
Les destinataires des données sont limités aux collaborateurs dont la mission est l’instruction des dossiers présentant des anomalies susceptibles de révéler une fraude, à savoir : 
l’équipe de gestion des fraudes du groupe BT en Grande Bretagne ; 
l’équipe d’investigations de BT Security UK ; 
les agents dûment habilités des services des Ressources humaines, de la Finance et de la Direction générale de BT France.
Ce qui n’appelle aucune observation de la Commission.
Sur l’information et le droit d’accès
L’information des personnes sera effectuée par le biais d’une inscription dans le registre d’information des agents mis à disposition sur l’intranet de BT. La Commission recommande que les agents concernés soient également informés, au moment de la collecte des informations les concernant, par une mention apposée sur les formulaires, précisant : « Toute fraude pourra faire l’objet d’un traitement informatique spécifique ». Le droit d’accès et de rectification défini au chapitre VII de la loi du 6 janvier 1978 modifiée s’exercera auprès de BT France, Tour Ariane, 5 place de la Pyramide, 92088 LA DEFENSE.
Sur les mesures de sécurité
Le traitement permet une authentification des agents habilités. Néanmoins, la Commission recommande que la gestion des mots de passe individuels se conforme aux recommandations de la CNIL, et notamment que le mot de passe utilisé soit de 8 caractères au lieu de 6. Elle recommande que les habilitations restent strictement limitées aux agents en charge de la lutte contre la fraude au sein de BT France et de BT UK. La journalisation des données vise les contenus accédés et les opérations effectuées. L’ensemble des connexions et tentatives de connexion feront l’objet d’un traçage.Compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, numéros identifiants, signes distinctifs) serait souhaitable.Pour garantir la confidentialité des données, la Commission rappelle que les obligations suivantes doivent être respectées :- tout échange dématérialisé de données en dehors de BT France doit faire l’objet d’un chiffrement, à tout le moins des données identifiantes ; - le traitement de gestion des fraudes ne doit faire l’objet d’aucune interconnexion autre que celle qui est déclarée par BT France avec le système de gestion du personnel (Peoplesoft) et le système de gestion de la paie.
Sur les autres caractéristiques du traitement
BT France mettra en œuvre des procédures de mise à jour et de suppression des informations correspondant à des faits commis depuis plus de deux ans, ce qui n’appelle aucune observation de la Commission. 
Autorise, conformément à la présente délibération, BT France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n°1493331)
La Commission nationale de l’informatique et des libertés ;
Saisie par la société BT Services SA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la prévention et la détection des fraudes ;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-5° ;
Vu le décret n°2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Emmanuel de GIVRY, Commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
La société BT Services SA est une filiale française de British Telecom, qui est l’opérateur historique des télécommunications britanniques. Son activité entre donc dans le champ de la gestion des réseaux de télécommunications et du conseil en télécommunication.Le traitement dénommé FBSSERV s’inscrit dans la cadre de l’obligation qui pèse sur la société de BT Services SA de se conformer à la loi britannique prévoyant des dispositions sur les infractions en matière de corruption et d’autres fins connexes du 8 avril 2010 (UK Bribery Act). Elle dispose notamment qu’une infraction commise par une entreprise britannique n’importe où dans le monde peut être sanctionnée. Ce traitement est donc dédié à la gestion des fraudes au sein de BT.La commission considère qu’il y a lieu de faire application de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée compte tenu que le traitement FBSSERV a pour objet l'interconnexion de fichiers dont les finalités principales sont différentes.
Sur la finalité
Le traitement FBSSERV répondra à une double finalité. D’une part, il permettra de gérer l’ensemble des informations relatives aux audits internes sur les éléments suivants : notes de frais, frais de voyage, facturation téléphonique professionnelle, achats faits pour le compte de la société BT Services SA, étude de cohérence entre la paie et le système de gestion du personnel, paiements des heures supplémentaires, bonus et commissions.D’autre part, le traitement permettra de détecter des montants abusifs ou des comportements contraires à la politique et aux procédures de la société BT Services SA (au moyen du traitement des anomalies ou infractions constatées sur la base des barèmes mis en place). Il permettra ainsi la détection d’éventuelles fraudes internes, enregistrées dans le FBSSERV uniquement si l’étude des informations résultant de ces audits établit l’existence d’une irrégularité avérée. Le traitement ne constituera pas un dispositif d’alerte professionnelle : son alimentation sera uniquement assurée par des audits internes.La Commission considère que cette finalité est déterminée, explicite et légitime. 
Sur les données traitées
Les données traitées seront relatives :
à l’identification des agents concernés : nom, prénom, date et lieu de naissance, numéro d’identification de l’employé (UIN) ;
à la situation familiale des agents concernés ;
à leur vie professionnelle : CV, situation professionnelle, notes de frais, salaires, bonus et commissions.
L’ensemble des données collectées seront obtenues à partir du système de gestion du personnel (Peoplesoft) et du système de gestion de la paie de la société BT Services SA. 
Une consultation préalable des représentants du personnel sera été effectuée.
Les données traitées seront objectives, ne comporteront aucune donnée d’appréciation subjective ni aucune appréciation sur le comportement de la personne concernée. Seuls les faits permettant d’apprécier la présence ou l’absence de fraudes seront saisis.
La Commission considère que les données collectées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les destinataires
Les destinataires des données seront limités aux collaborateurs dont la mission est l’instruction des dossiers présentant des anomalies susceptibles de révéler une fraude, à savoir : 
l’équipe de gestion des fraudes du groupe BT en Grande Bretagne ; 
l’équipe d’investigations de la société BT Security UK ; 
les agents dûment habilités des services des Ressources humaines, de la Finance et de la Direction générale de la société BT Services SA.
Ce qui n’appelle aucune observation de la Commission.
Sur l’information et le droit d’accès
L’information des personnes sera effectuée par le biais d’une inscription dans le registre d’information des agents mis à disposition sur l’intranet de la société BT. La Commission recommande que les agents concernés soient également informés, au moment de la collecte des informations les concernant, par une mention apposée sur les formulaires, précisant : « Toute fraude pourra faire l’objet d’un traitement informatique spécifique ». Le droit d’accès et de rectification défini au chapitre VII de la loi du 6 janvier 1978 modifiée s’exercera auprès de la société BT France, Tour Ariane, 5 place de la Pyramide, 92088 LA DEFENSE.
Sur les mesures de sécurité
Le traitement prévoit une authentification des agents habilités. Néanmoins, la Commission recommande que la gestion des mots de passe individuels se conforme aux recommandations de la CNIL, et notamment que le mot de passe utilisé soit de 8 caractères alphanumériques. Elle recommande que les habilitations restent strictement limitées aux agents en charge de la lutte contre la fraude au sein de la société BT Services SA et de BT UK. La journalisation des données vise les contenus accédés et les opérations effectuées. L’ensemble des connexions et tentatives de connexion feront l’objet d’un traçage.Compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, numéros identifiants, signes distinctifs) serait souhaitable.Pour garantir la confidentialité des données, la Commission rappelle que les obligations suivantes doivent être respectées :- tout échange dématérialisé de données en dehors de la société BT Services SA doit faire l’objet d’un chiffrement, à tout le moins des données identifiantes ; - le traitement de gestion des fraudes ne doit faire l’objet d’aucune interconnexion autre que celle qui est déclarée par la société BT Services SA avec le système de gestion du personnel (Peoplesoft) et le système de gestion de la paie.
Sur les autres caractéristiques du traitement
La société BT Servies SA mettra en œuvre des procédures de mise à jour et de suppression des informations correspondant à des faits commis depuis plus de deux ans, ce qui n’appelle pas d’observation de la Commission. 
Autorise, conformément à la présente délibération, la société BT Services SA à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1575711)
La Commission nationale de l’informatique et des libertés ; 
Saisie par le Conseil général du Rhône d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des trois certificats de santé du jeune enfant ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 2111-2 et L. 2111-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Conformément aux articles L.2111-2 et L.2111-3 du code de la santé publique, le Conseil général du Rhône remplit une mission de gestion des trois certificats de santé du jeune enfant au 8ème jour, 9ème et 24ème mois de la vie des enfants. Dans ce cadre, le département du Rhône souhaite créer un traitement de données dans le service de protection maternelle et infantile (PMI).La Commission considère qu’il y a lieu de faire application des articles 8-IV, 25-I-1° et 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements comportant des données à caractère personnel qui sont relatives à la santé des personnes concernées et comportant le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR). 
Sur la finalité
L’objet du traitement est, pour le service de la PMI, de gérer les certificats de santé du jeune enfant.Il répond également à l’obligation des officiers d’Etat civil de transmettre une copie des actes de naissance et de décès des jeunes enfants de moins de 6 ans à la PMI. Ce traitement ne permet d’établir aucune présélection des enfants à risque susceptibles d’un suivi individuel.Elle considère que cette finalité est déterminée, explicite et légitime. 
Sur les données traitées