AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés, Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-1°et 25-I-5°;Vu le décret n° 99-778 du 10 septembre 1999 modifié instituant une commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation ;Vu le décret n° 2000-657 du 13 juillet 2000 instituant une mesure de réparation pour les orphelins dont les parents ont été victimes de persécutions antisémites ;Vu le décret n° 2000-1023 du 14 octobre 2000 portant application des dispositions du troisième alinéa de l'article 31 de la loi n°78-17 du 6 janvier 1978 au fichier mis en œuvre par la commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation ; Vu le décret n° 2002-1478 du 19 décembre 2002 portant création de fichiers automatisés d'informations nominatives pour assurer, d'une part, l'instruction des dossiers d'indemnisation présentés en application du décret n°
99-778 du 10 septembre 1999 et, d'autre part, le paiement des indemnités ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Gaëtan GORCE, commissaire, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en son rapport,Formule les observations suivantes :
La Commission a été saisie par la Commission d'indemnisation des victimes de spoliations (CIVS) d'une demande d'autorisation relative à l'interconnexion du traitement des demandes d'indemnisation des spoliations de la CIVS avec le traitement des allocataires de l'indemnité d'orphelin de l'Office national des anciens combattants et victimes de guerre (ONACVG) dans le cadre de l'indemnisation des orphelins de déportés pour les informer de leur droit à indemnisation. 
Au regard des finalités des deux traitements concernés, il y a lieu de faire application de l'article 25-I-5° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation de la Commission l' interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents . En outre, l'interconnexion envisagée étant susceptible de faire apparaître indirectement des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, et notamment les origines raciales ou ethniques et les opinions religieuses, la mise en œuvre de ce traitement, justifié par un intérêt public, doit faire l'objet d'une autorisation de la Commission en application de l'article 25-I-1°de ladite loi.
Sur la finalité du traitement
L'interconnexion des traitements de la CIVS et de l'ONACVG a pour finalité d'informer les attributaires de l'allocation d'orphelin de l'ONACVG qui n'ont pas présenté de demande d'indemnisation auprès de la CIVS de la possibilité d'être indemnisés des spoliations dont leurs parents ou grands-parents ont été victimes du fait des législations antisémites. 
Cette demande d'autorisation s'inscrit dans le cadre d'une campagne de la CIVS visant à diffuser plus largement l'existence du droit à indemnisation. La CIVS n'a en effet pas réussi à identifier toutes les personnes susceptibles de pouvoir être indemnisées. Le projet d'interconnexion résulte ainsi de la nécessité d'élargir les moyens de recherche de la CIVS pour identifier les victimes de spoliations et leurs ayants droit susceptibles d'être indemnisés. 
A cet effet, il est prévu la transmission des données d'identité des allocataires de l'indemnité d'orphelin, depuis le traitement mis en œuvre par l'ONACVG, à la CIVS. Celle-ci procèdera ensuite à la comparaison de ces données avec le traitement relatif aux demandes d'indemnisation des spoliations aux fins d'identifier les orphelins n'ayant pas encore présenté de demande d'indemnisation auprès de la CIVS. A l'issue de cette interconnexion, un courrier sera envoyé aux personnes ainsi identifiées afin de les informer de leur droit à indemnisation.
La Commission considère dès lors que cette finalité est déterminée, explicite et légitime, conformément à l'article 6 de la loi du 6 janvier 1978 modifiée. 
Sur la nature des données traitées
Les données transmises par l'ONACVG à la CIVS concernent les personnes allocataires de l'indemnité d'orphelin de l'ONACVG. Il s'agit d'informations relatives à leur état civil (nom, prénom, adresse, date et lieu de naissance), à leur vie personnelle (situation familiale) et professionnelle (situation professionnelle) ainsi qu'à leur situation économique et financière (nature et valeur des biens spoliés). 
Cette interconnexion est en outre susceptible de faire apparaître, directement ou indirectement, des données sensibles relevant de l'article 8 de la loi du 6 janvier 1978 modifiée. Il s'agit des données laissant apparaître les origines raciales ou ethniques et les opinions religieuses.
Etant donné que certaines victimes de spoliations l'ont été du fait de leur appartenance raciale ou ethnique ou de leurs opinions religieuses, réelles ou supposées, la collecte de ces données est justifiée par la finalité de l'interconnexion projetée. En outre, eu égard à ses missions d'intérêt public, la CIVS est autorisée, en vertu de l'article 1 du décret n° 2000-1023 du 14 octobre 2000, à traiter ce type de données.
La Commission estime dès lors que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement. 
Sur la durée de conservation des données
La conservation des données des personnes ayant répondu à la lettre de la CIVS les informant de leur droit à indemnisation est de deux ans à compter de l'envoi du courrier. Cette durée de conservation doit permettre à la CIVS d'effectuer les démarches nécessaires à l'information des personnes ayant droit à indemnisation, en particulier celles qui résident à l'étranger. 
La conservation des données à caractère personnel des personnes n'ayant pas répondu à la lettre de la CIVS les informant de leur droit à indemnisation est de trois ans afin de pouvoir joindre les personnes par l'envoi d'un second courrier. 
La durée de conservation des données enregistrées dans le traitement de la CIVS pour les personnes ayant constitué un dossier de demande d'indemnisation est également de trois ans. 
La Commission considère que ces durées de conservation n'excèdent pas la durée de conservation nécessaire à la finalité du traitement.
Sur les destinataires des donnéesLes destinataires des données sont les agents de la CIVS chargés d'instruire les dossiers de demande d'indemnisation ainsi que les rapporteurs qui sont les magistrats responsables de l'instruction des dossiers.
Les agents de la CIVS ayant accès au traitement seront authentifiés par le biais d'un mot de passe d'un niveau de complexité suffisant.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données.
Sur l'information des personnes concernées et leurs droits d'accès et de rectification Il est prévu que les courriers envoyés aux personnes concernées contiennent l'ensemble des mentions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée et notamment l'identité du responsable de traitement, les finalités de l'interconnexion ainsi que les modalités d'exercice des droits des personnes concernées. Ces droits d'accès et de rectification s'exerceront directement auprès de la CIVS. 
Sur les mesures de sécuritéLe transfert des données de l'ONACVG vers la CIVS aura lieu par transmission d'un support physique (CD-ROM) contenant les données sous forme chiffrée.
Une fois en possession de la CIVS, ces données seront recoupées sur la base des données d'état civil des personnes afin d'identifier les personnes présentes dans les deux fichiers. Les personnes ainsi identifiées seront spécifiquement identifiées dans la base de données, afin que l'origine de leurs données soit connue.
Le traitement aura lieu sur des ressources informatiques internes au CIVS qui font l'objet de mesures de sécurité suffisantes.
La Commission rappelle que toutes les actions doivent faire l'objet de mesures de traçabilité des consultations, conformément à l'article 34 de la loi du 6 janvier 1978 modifiée.
Au bénéfice des observations qui précèdent, la Commission autorise la CIVS à procéder à l'interconnexion du traitement des demandes d'indemnisation des spoliations de la Commission d'indemnisation des victimes de spoliations et du traitement des allocataires de l'indemnité d'orphelin de l'Office national des anciens combattants et des victimes de guerre.
La Présidente 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le Directeur général de Pôle emploi d'un projet de décision du conseil d'administration de Pôle emploi relative à la mise en œuvre d'un traitement automatisé portant acquisition et exploitation de données à caractère personnel provenant des déclarations préalables à l'embauche et constitution d'une base de données à caractère personnel à finalité statistique ; 
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu le code du travail, notamment ses articles L.1221-10 et R.1221-17 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-681 du 16 juin 2011 relatif à la fusion de la déclaration préalable à l'embauche et de la déclaration unique d'embauche ;
Après avoir entendu Monsieur Emmanuel de GIVRY, vice-président, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant : 
La Commission a été saisie le 1er février 2012 par le Directeur général de Pôle emploi, sur le fondement de l'article 27-II-2° de la loi du 6 janvier modifiée, d'une demande d'avis sur une décision de son organe délibérant relative à la mise en œuvre d'un traitement automatisé portant acquisition et exploitation de données à caractère personnel provenant des déclarations préalables à l'embauche (DPAE) et constitution d'une base de données à caractère personnel  DPAE  à finalité statistique.
En application de l'article L.1221-10 du code du travail, un employeur qui embauche un salarié est tenu d'adresser, préalablement au recrutement et au plus tôt dans les huit jours précédant la date prévisible d'embauche, une déclaration nominative à l'organisme de protection sociale compétent. La liste des informations qu'un employeur doit ainsi transmettre a été fixée par arrêté des ministres chargés du travail et de la sécurité sociale et, pour les déclarations concernant un salarié relevant du régime de protection sociale agricole, du ministre chargé de l'agriculture.
L'article R.1221-1 du code du travail, modifié par le décret n° 2011-681 du 16 juin 2011 relatif à la fusion de la DPAE et de la déclaration unique d'embauche (DUE), prévoit ainsi qu'une DPAE doit comporter les mentions suivantes : - dénomination sociale ou nom et prénoms de l'employeur, code APE, adresse de l'employeur, numéro du système d'identification du répertoire des entreprises et de leurs établissements ainsi que le service de santé au travail dont l'employeur dépend s'il relève du régime général de sécurité sociale ;- nom, prénoms, sexe, date et lieu de naissance du salarié ainsi que le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR) si ce dernier est déjà immatriculé à la sécurité sociale ; - date et heure d'embauche ; - nature, durée du contrat ainsi que durée de la période d'essai éventuelle pour les contrats à durée indéterminée et les contrats à durée déterminée dont le terme ou la durée minimale excède six mois ;- lorsqu'il s'agit de l'embauche d'un salarié agricole, les données nécessaires au calcul par les caisses de mutualité sociale agricole des cotisations dues pour l'emploi de salariés agricoles, à l'affiliation de ces derniers aux institutions de retraite complémentaire et de prévoyance et, enfin, à l'organisation de l'examen médical d'embauche.
La Commission relève que seule une partie de ces données doit être communiquée à Pôle emploi par l'organisme de protection sociale compétent, en application de l'article R.1221-17 du code du travail dans sa rédaction actuelle. Il s'agit des éléments d'identification de l'employeur, de la date d'embauche du salarié, de son sexe, de sa date de naissance, de la nature et de la durée du contrat de travail et, enfin, de la durée de la période d'essai. Les données d'identification des personnes concernées par une DPAE, à l'exception de leurs dates de naissance, ne sont quant à elles pas transmises à Pôle emploi.
Elle prend acte que l'article R.1221-17 du code du travail doit être modifié, par décret pris en Conseil d'Etat après avis de la Commission sur le fondement de l'article 11-2-d de la loi du 6 janvier 1978 modifiée, pour ajouter le NIR aux données transmises à Pôle emploi par l'agence centrale des organismes de sécurité sociale (ACOSS) et la caisse centrale de mutualité sociale agricole (CCMSA) dans le cadre de la DPAE.
Sur la finalité du traitement
À compter de la publication au journal officiel de la République du décret modifiant l'article R.1221-17 du code du travail, Pôle emploi envisage la création d'un traitement automatisé de données à caractère personnel, dénommé  DPAE , pour exploiter l'intégralité des données des DPAE qui lui seront transmises par les organismes de protection sociale.
L'article 1er du projet de décision du conseil d'administration de Pôle emploi prévoit que ce traitement vise à : 
- acquérir et exploiter les données à caractère personnel provenant des DPAE transmises par l'ACOSS et la CCMSA ;- constituer une base de données à caractère personnel à finalité statistique permettant à Pôle emploi de mesurer l'impact de son offre de service sur le chômage et l'emploi ainsi qu'à mieux caractériser le retour à l'emploi des demandeurs d'emploi ;- enrichir les traitements automatisés de Pôle emploi relatifs à la gestion des demandeurs d'emploi et leur indemnisation, dénommés  GIDE  et  ALADIN , afin d'améliorer le suivi et l'accompagnement des demandeurs d'emploi ;- enrichir le traitement automatisé de Pôle emploi dénommé  Authentification des données  permettant de prévenir les indus et de limiter les fraudes.
La Commission considère que ces finalités, qui impliquent la création d'interconnexions de fichiers ne correspondant pas à des intérêts publics différents, sont déterminées, explicites et légitimes.
Elle rappelle toutefois qu'  aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité , en application du deuxième alinéa de l'article 10 de la loi du 6 janvier 1978 modifiée. Il apparaît ainsi à la Commission que la suspension du versement d'une allocation ne pourrait automatiquement résulter du seul traitement  DPAE  sans l'intervention d'une personne physique habilitée chargée de vérifier, notamment, que les personnes concernées par une DPAE ont effectivement été embauchées.
Par ailleurs, s'agissant de l'enrichissement de traitements du Pôle emploi par l'exploitation des données des DPAE, la Commission estime que seules les données dont la fiabilité est certaine doivent être intégrées. Il lui apparaît ainsi que les numéros d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR) non certifiés de façon certaine, par les organismes habilités à cet effet, ne doivent pas être intégrés dans les traitements de Pôle emploi relatifs à la gestion des demandeurs d'emploi et de leur indemnisation.
Sur les données traitées
Les articles 2 et 3 du projet de décision du conseil d'administration de Pôle emploi précisent les données à caractère personnel traitées dans le traitement  DPAE  et la base de données à caractère personnel à finalité statistique.
Il s'agit de données relatives :
- à l'identification des personnes physiques concernées : nom, prénom, nom d'époux, sexe, pays ou commune de naissance, département et date de naissance, code commune INSEE de résidence, NIR et statut, numéro identifiant Pôle emploi et statut de ce numéro, numéro identifiant de la base nationale des individus demandeurs d'emploi (BNI) ;- à la vie professionnelle : code qualité du salarié, date et heure d'embauche, nature de l'emploi et qualification, type de contrat de travail, durée du contrat de travail et date de fin de contrat, durée de la période d'essai, durées hebdomadaire, mensuelle et annuelle de travail en heures ;- aux employeurs : nom ou raison sociale, n° de SIRET, code NAF, code postal, coordonnées, code commune INSEE, taille de l'établissement.
La Commission relève que l'agence nationale pour l'emploi (ANPE) a été autorisée, par le décret n°87-1025 du 17 décembre 1987, à collecter le NIR des demandeurs d'emploi et le transmettre aux institutions gestionnaires du régime d'assurance chômage, aux organismes de sécurité sociale, aux organismes de retraite complémentaire ou encore aux directions départementales du travail, de l'emploi et de la formation professionnelle.
L'article 7 du décret n° 2008-1010 du 29 septembre 2008, relatif à l'organisation du service public de l'emploi, ayant prévu que  dans tous les textes réglementaires en vigueur les mots "ANPE" sont remplacés par les mots "institution mentionnée à l'article L.5312-1 du code du travail" , la Commission en déduit que Pôle emploi est autorisé à traiter le NIR des demandeurs d'emploi sur la base du décret n°87-1025 du 17 décembre 1987.
La Commission considère, dès lors, que le traitement des données ci-dessus visées est légitime, pertinent et non excessif au regard des finalités poursuivies.
Sur la durée de conservation
À la lumière des précisions apportées par Pôle emploi, la Commission relève que les données relatives à la DPAE enregistrées dans la base de données à finalité statistique sont conservées pendant 5 ans, puis archivées pendant 5 années supplémentaires afin de disposer de données permettant de réaliser des analyses statistiques longitudinales sur le parcours des demandeurs d'emploi.
Elle observe également que les données issues de la transmission des DPAE enregistrées par la suite dans les traitements de Pôle emploi dénommés  GIDE  et  ALADIN  sont conservées pendant 10 ans, conformément aux dispositions légales et réglementaires relatives aux délais de déchéance des droits et de prescription ainsi qu'au droit de communication de l'administration fiscale, d'une part, et aux dispositions réglementaires relatives à la recherche des périodes d'activité nécessaires pour l'ouverture d'un droit au titre du régime de solidarité géré pour le compte de l'État, d'autre part.
La Commission note enfin que les données relatives à la DPAE enregistrées dans le traitement de Pôle emploi dénommé  Authentification des données  sont supprimées un an après la radiation ou la cessation d'inscription du demandeur d'emploi.
La Commission considère que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement des finalités poursuivies.
Sur les destinataires des données
L'article 4 du projet de décision du conseil d'administration de Pôle emploi mentionne les destinataires des données à caractère personnel du traitement  DPAE . 
Plus précisément, cet article vise :
- s'agissant de la base de donnée  DPAE , les agents de Pôle emploi dûment habilités en charge des études statistiques ;- s'agissant des traitements automatisés dénommés  GIDE ,  ALADIN  et  Authentification des données , les agents de Pôle emploi dûment habilités en charge des missions d'indemnisation, de suivi et d'accompagnement des demandeurs d'emploi, ainsi que de la prévention des fraudes.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données du traitement dénommé  DPAE .
Sur les droits des personnes concernées 
Les personnes concernées par le traitement  DPAE  seront informées de leur droit d'accès au moyen d'une mention sur le site internet de Pôle emploi.
L'article 5 du projet de décision du conseil d'administration de Pôle emploi mentionne que les droits d'accès et de rectification s'exercent :- auprès du correspondant informatique et libertés de Pôle emploi pour les données enregistrées dans la base de données  DPAE  ;- auprès de l'agence de Pôle emploi territorialement compétente pour les données enregistrées dans les traitements  GIDE ,  ALADIN  et  Authentification des données .
La Commission relève, par ailleurs, que l'article 6 du projet de décision du conseil d'administration de Pôle emploi écarte le droit d'opposition pour motif légitime.
La Commission estime que les mesures prévues au titre de l'information des personnes sont satisfaisantes.
Sur les mesures de sécurité
L'authentification des agents de Pôle emploi est assurée par l'utilisation de mots de passe d'au moins huit caractères régulièrement renouvelés, contenant obligatoirement une lettre minuscule, un chiffre et un caractère spécial. Des mesures opérationnelles sont également mises en place au sein des structures locales afin de garantir que les habilitations sont gérées de façon rigoureuse.
Des profils d'habilitation définissant les fonctions ou les types d'informations accessibles à un utilisateur sont définis en fonction des métiers des agents de Pôle emploi.
Des mesures permettant d'assurer la traçabilité des opérations effectuées dans les applicatifs métiers doivent également être mises en œuvre. 
S'agissant de la base de données permettant de réaliser des statistiques, la Commission relève que les accès à cette base sont journalisés mais que les requêtes permettant de réaliser les statistiques ne sont pas conservées. Toutefois, compte tenu du nombre limité d'agents ayant accès à des données et de leur obligation consistant à garantir la confidentialité de ces dernières, ces mesures apparaissent suffisantes.
La Commission note enfin que les échanges de données entre les différents acteurs sont réalisés au moyen de réseaux privés virtuels chiffrés de type  IPsec .
Ces mesures de sécurité apparaissent satisfaisantes à la Commission.
La Présidente
 
Isabelle FALQUE-PIERROTIN