AgentPublic/cnil huggingface dataset:
Il est en outre prévu de collecter la langue parlée par les personnes non admises, afin de faciliter la communication entre les agents de la DCPAF et les personnes concernées, le cas échéant en faisant appel à un interprète, et de permettre à ces dernières d'exercer leurs droits. A cet égard, la Commission rappelle que la langue parlée ne constitue pas à elle seule une donnée faisant apparaître les origines raciales ou ethniques des personnes, dans la mesure où il n'y a pas nécessairement correspondance entre la langue parlée et ces origines. 
Les données à caractère personnel enregistrées dans le traitement qui concernent les interprètes, qui peuvent intervenir dans la procédure, l'hébergement de la personne non admise ou les pénalités financières infligées à l'entreprise de transport n'appellent pas d'observation particulière de la part de la Commission, dans la mesure où leur traitement est justifié au regard des finalités du traitement GIPI.
Ainsi, la Commission considère que les données mentionnées à l'annexe au projet d'arrêté sont adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont collectées, conformément à l'article 6-3°de la loi  Informatique et Libertés . 
Sur la durée de conservation des données
L'article 3 du projet d'arrêté prévoit une durée de conservation de l'ensemble des données enregistrées dans le traitement GIPI de trois mois à compter de la clôture du dossier. Pour le FNAD, cette durée était de cinq ans, à l'exception des données relatives aux procédures administratives ou juridictionnelles de refus d'entrée sur le territoire et de maintien en zone d'attente des ressortissants étrangers, qui étaient conservées 32 jours.
La Commission considère que cette durée de conservation n'excède pas la durée nécessaire aux finalités pour les lesquelles elles sont traités. En effet, cette durée de conservation permet aux agents du ministère de l'intérieur d'effectuer l'ensemble des démarches nécessaire liées à la procédure de non admission (envoi des avis de paiement à l'entreprise de transport, facturation de l'interprète, etc.).
Au-delà de cette durée de conservation, les données sont anonymisées et conservées pour une durée de cinq ans dans la base  infocentre , aux seules fins d'élaboration de statistiques. 
Sur les destinataires
L'article 4 du projet d'arrêté liste les destinataires des données enregistrées dans le traitement, en distinguant les personnels bénéficiant d'un accès direct aux données des personnels à qui ces informations peuvent être communiquées.
En ce qui concerne les premiers, il s'agit des agents de la police nationale affectés à la direction centrale de la police aux frontières (direction centrale et services territoriaux), qui utilisent le traitement lors de la procédure de contrôle des passagers à l'arrivée des vols.
Peuvent en outre être rendus destinataires des données contenues dans le traitement GIPI, dans la limite du besoin d'en connaître, les autres agents de la police nationale affectés à la direction centrale de la police aux frontières, ainsi que, dans la limite de leurs attributions légales, les agents des services du secrétariat général à l'immigration et à l'intégration du ministère de l'intérieur ainsi que les agents de la direction des libertés publiques et des affaires juridiques du ministère de l'intérieur compétents en matière de réglementation relative aux étrangers.
Cette liste n'appelle pas d'observation particulière de la part de la Commission. Celle-ci demande néanmoins au ministère de compléter le projet d'arrêté afin qu'il mentionne, pour chacun de ces destinataires, l'autorité qui les désigne et les habilite à accéder aux données contenues dans le traitement. 
Sur les droits des personnes
Les personnes concernées seront informées de la collecte de leurs données par voie d'affichage dans les bureaux de la police aux frontières. La Commission souligne que cette affiche sera rédigée dans diverses langues (arabe, chinois, anglais, espagnol et portugais) et qu'elle indiquera clairement aux intéressés les modalités d'exercice de leurs droits d'accès et de rectification, conformément à ce qu'elle avait demandé dans le cadre des expérimentations du FNAD. 
Ces droits s'exerceront sur place de manière directe, auprès de la DCPAF, conformément aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée. La Commission prend acte que le ministère s'engage, à sa demande, à rectifier le projet d'arrêté en ce sens.
Enfin, elle prend acte que le droit d'opposition prévu par l'article 38 de ladite loi ne s'applique pas au traitement GIPI. 
Sur l'architecture technique et les mesures de sécurité et de traçabilité
Le traitement GIPI est hébergé dans les locaux de la direction opérationnelle des services techniques et logistiques (DOSTL) de la Préfecture de police et les serveurs d'application sont gérés par un administrateur de serveur de cette entité. La sécurisation des échanges réseaux est garantie par l'utilisation du réseau privé de la police RGT et le recours à un chiffrement HTTPS pour les échanges internes. Le réseau comporte également des sécurités contre les intrusions.
La sécurité physique du local est garantie par l'utilisation de badges et une politique de sécurité des systèmes d'information est mise en place par la DCPAF et suivie par la DDPAF de Roissy. Cette PSSI couvre notamment la procédure de destruction des données. 
Les mesures d'authentification sont fondées sur des mots de passe complexes mêlant minuscules, majuscules et caractères spéciaux et renouvelés tous les 90 jours. 
Si ces mesures de sécurité apparaissent satisfaisantes au regard des exigences de l'article 34 de la loi du 6 janvier 1978 modifiée, la Commission rappelle néanmoins qu'elle avait demandé, pour le traitement FNAD, le chiffrement des données des modules de l'application, afin de s'assurer d'une meilleure confidentialité des informations. Elle réitère donc sa demande de voir les données à caractère personnel du traitement GIPI stockées sous une forme chiffrée. 
En ce qui concerne la traçabilité appliquée au traitement, les consultations font l'objet d'une mesure de traçabilité comprenant l'identification du consultant, la date, l'heure et la nature de la consultation. La Commission rappelle que cette traçabilité est assurée pour toutes les opérations effectuées dans le système, notamment les actions de création, de modification et de suppression.
En revanche, la durée de conservation de ces données de traçabilité, fixée à cinq ans, semble disproportionnée au regard de la durée de conservation des données personnelles, fixée à trois mois après la clôture du dossier. En particulier, la Commission rappelle qu'il faut s'assurer qu'il n'est pas possible, en consultant les journaux de traçabilité, de déterminer la présence passée d'une personne dans GIPI au-delà de la période de trois mois après clôture. 
Enfin, concernant l'infocentre permettant la constitution d'une copie  anonymisée  de la base GIPI à des fins statistiques, la Commission relève que cette anonymisation devait être réalisée par export des données de la base sous format Excel vers un poste de travail et par suppression manuelle des données à caractère personnel concernées. Or, le stockage, même temporaire, sur un poste de travail introduit de nouveaux risques relatifs à la durée de conservation (par exemple si le fichier extrait est laissé sur ce poste de travail) et à la traçabilité des actions (une fois le fichier extrait, les mécanismes de traçabilité associés à l'application ne sont plus effectifs). 
C'est pourquoi la Commission prend acte que le ministère s'engage finalement à prévoir une extraction automatique des données anonymes destinées à l'analyse statistique depuis la base GIPI.
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le Ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet d'arrêté relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé  TéléRC  ayant pour finalité la gestion des demandes d'homologation des ruptures conventionnelles d'un contrat de travail à durée indéterminée ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code du travail, notamment ses articles L. 1237-11 à L. 1237-16 et R. 1237-3 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II-4°, 28 et 29 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le projet d'arrêté portant création d'un téléservice et d'un traitement automatisé de données nominatives relatif à la gestion des demandes d'homologation des ruptures conventionnelles d'un contrat de travail à durée indéterminée ;Après avoir entendu M. Emmanuel de GIVRY,
commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Emet l'avis suivant :
Sur le fondement de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère du travail, de l'emploi et de la santé d'un projet d'arrêté portant création d'un téléservice dénommé  téléRC  relatif à la gestion des demandes d'homologation des ruptures conventionnelles d'un contrat de travail à durée indéterminée (CDI).
A titre liminaire, il convient de rappeler qu'aux termes des dispositions des articles L. 1237-11 à L. 1237-16 du Code du travail, l'employeur et le salarié peuvent convenir d'un commun accord des conditions de la rupture du contrat de travail qui les lie. Cette rupture conventionnelle du contrat de travail obéit à une procédure spécifique : entretien(s) entre les deux parties, homologation de la convention par l'administration, etc.
Le téléservice  téléRC  permet aux employeurs et salariés d'effectuer en ligne la demande d'homologation de la rupture conventionnelle.
Sur les finalités du traitement :
Le projet d'arrêté prévoit la création d'un traitement automatisé de données à caractère personnel ayant pour finalités :- la mise à disposition des usagers (employeurs et salariés) d'un téléservice, dénommé  téléRC , offrant une assistance pour la saisie du formulaire CERFA n° 14598 de demande d'homologation d'une rupture conventionnelle d'un contrat de travail à durée indéterminée ;- l'accès à une application de gestion permettant aux agents des services du ministère d'instruire les demandes d'homologation, soit par saisie des données ou par récupération automatique des données pré-saisies depuis le portail public, à réception du formulaire papier en unité territoriale(UT) ;- l'élaboration d'études statistiques sur des données rendues anonymes à partir des données collectées dans un outil décisionnel.
La Commission prend acte que la saisie assistée offre une garantie de qualité de remplissage des dossiers et un traitement rapide des demandes d'homologation des ruptures conventionnelles par l'administration.
La Commission considère que les finalités de l'application  téléRC  sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
La Commission relève que l'article 2 du projet d'arrêté liste les données à caractère personnel collectées et traitées via deux canaux :
• depuis le portail public
- données relatives à l'employeur (n° SIRET, raison sociale, adresse de l'établissement, nom du signataire de la convention, numéro de téléphone, courriel, n° URSSAF) ;- données relatives au salarié (civilité, nom, prénom, date de naissance, adresse de correspondance, numéro de téléphone, courriel, qualification, emploi, convention collective) ;- données relatives au calcul de l'indemnité (ancienneté du salarié, dernier mois rémunéré connu, montant des salaires mensuels des douze derniers mois, primes exceptionnelles des douze derniers mois, montant de la rémunération moyenne, montant brut en chiffres et en lettres de l'indemnité spécifique proposée) ;- données relatives à l'entretien (date, nom, prénom et qualité des assistants du salarié et de l'employeur) ; - données relatives à la convention de rupture (montant de l'indemnité de rupture, date de signature des parties, date de fin du délai de rétractation, date de rupture envisagée, autres clauses de la convention) ;
• depuis l'application de gestion
La réception des formulaires papiers en unités territoriales permet aux agents de créer un dossier depuis leur intranet métier ou de récupérer les informations pré-saisies depuis le portail public. Les données traitées sont :
- les données issues du formulaire CERFA et renseignées dans le portail public ;- données rapatriées depuis l'annuaire SIENE interne du ministère (code APE, effectifs de l'établissement, code section d'inspection) ;- nombre de ruptures conventionnelles dans l'entreprise sur une période de 15 mois, informations sur chaque rupture conventionnelle (unité territoriale d'attribution, numéro du dossier créé, n° SIRET de l'établissement, nom ou raison sociale de l'établissement, date de réception du formulaire en unité territoriale, décision prise, date de la décision, nom et prénom du salarié) ;- nature de la décision (irrecevabilité, homologation implicite, homologation expresse, refus, transfert vers l'unité territoriale compétente)
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données sont conservées 2 ans à compter de la date à laquelle l'administration a rendu sa décision sur la demande d'homologation, depuis l'application de gestion. Les données restent accessibles 60 jours du côté du portail public pour les gestionnaires en UT, qu'elles soient récupérées ou non du côté application de gestion. Les dossiers créés par les usagers sont accessibles pendant 3 jours sur le portail public ; au-delà l'usager n'y a plus accès. A l'issue de ce délai l'usager doit générer le formulaire papier pré-rempli qu'il adresse à l'administration. Une fois le dossier instruit par l'administration, l'usager peut générer une attestation depuis le portail public. Il dispose pour ce faire d'un délai de 6 mois à compter de la fin du délai d'instruction. A l'issue de ce délai, le dossier n'est plus accessible. 
Ces durées de conservation apparaissent pertinentes au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Les destinataires des données sont, à raison de leurs attributions respectives et pour les besoins des missions qui leur sont confiées :- les agents de l'inspection du travail ;- les agents de la direction générale du travail au ministère chargé du travail ayant en charge le suivi de la mise en œuvre de ce traitement et de la gestion des demandes d'homologation ;- les agents des services statistiques du ministère chargé du travail.
La liste de ces destinataires n'appelle pas d'observations de la Commission.
Sur l'information des personnes :
Les usagers sont informés, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, de leurs droits d'accès, de rectification et d'opposition sur le portail public www.teleRC.travail.gouv.fr dans la rubrique  mentions légales . Ces informations sont également mentionnées sur le formulaire CERFA.
Les conseillers du salarié relevant des directions régionales des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIRECCTE) sont informés par courrier de la mise en place d'un traitement automatisé de données susceptibles d'inclure leur identité s'ils interviennent dans une procédure de rupture conventionnelle en assistant un salarié et qu'ils peuvent s'opposer à figurer dans ce traitement.
Ces modalités d'information des personnes apparaissent suffisantes pour la Commission.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d'accès, de rectification et d'opposition des personnes s'exercent auprès du Ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social - Direction Générale du Travail - Bureau des relations collectives du travail (RT2) ou auprès du service instructeur de la DIRECCTE compétente.
Ces modalités d'exercice des droits des personnes apparaissent suffisantes pour la Commission.
Sur la sécurité des données et la traçabilité des actions :
La Commission prend acte que des mesures de protection physiques et logiques sont prises pour préserver la sécurité du traitement de données à caractère personnel. Ces mesures visent à empêcher toute utilisation détournée ou frauduleuse des données ou que des tiers non autorisés y aient accès.
Elle prend acte que l'accès au serveur est protégé par login et mot de passe. Les utilisateurs répartis par profils n'ont accès qu'aux fonctions et données autorisées par le profil qui leur est affecté (gestionnaire, observateur, administrateur). Par ailleurs des firewalls protègent le système des intrusions malveillantes. La traçabilité des mouvements est disponible et utilisable pour détecter et vérifier les mouvements anormaux. L'accès aux logiciels est réservé au personnel habilité.
La Commission considère que ces mesures de sécurité sont satisfaisantes au regard des dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; 
Vu l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n°2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n°2007-284 du 2 mars 2007 fixant les modalités d'élaboration, d'approbation, de modification et de publication du référentiel général d'interopérabilité ;
Vu l'arrêté du 9 novembre 2009 portant approbation du référentiel général d'interopérabilité ;
Vu l'arrêté du 6 mai 2010 portant approbation du référentiel général de sécurité et précisant les modalités de mise en œuvre de la procédure de validation des certificats électroniques ;
Vu le référentiel général d'interopérabilité, version 1.0 du 12 mai 2009, de la Direction générale de la modernisation de l'État du ministère du Budget, des comptes publics et de la de la fonction publique ;
Vu le référentiel général de sécurité, version 1.0 du 6 mai 2010, de l'Agence nationale de la sécurité des systèmes d'information et de la Direction générale de la modernisation de l'État du ministère du Budget, des comptes publics et de la réforme de l'État ;
Sur la proposition de M. Emmanuel de Givry, vice-président délégué, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le téléservice permettant l'accomplissement des formalités déclaratives
La loi n°78-17 du 6 janvier 1978 modifiée prévoit que tout responsable de fichier informatisé qui comporte des données à caractère personnel doit effectuer, préalablement à sa mise en œuvre, des formalités auprès de la CNIL (articles 22 à 27, articles 53 et 62 de la loi).
En mars 2010, la CNIL a dématérialisé l'ensemble de ses procédures de formalités préalables afin de faciliter leur accomplissement. Depuis cette date, les responsables de traitement peuvent ainsi, à partir du site de la Commission www.cnil.fr , effectuer en ligne toutes les procédures prévues par la loi après avoir été informés et orientés en fonction de leur situation.
Le téléservice permet notamment de joindre toutes les pièces nécessaires à la bonne prise en compte des dossiers de formalités.
Une fois l'envoi réalisé, un accusé de réception est adressé aux déclarants de manière automatique. Au-delà du téléservice, les dossiers de formalités sont ensuite qualifiés et instruits par les services de la Commission.
Sur le référentiel général de sécurité
Le référentiel général de sécurité (RGS), prévu par l'article 9 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et approuvé par l'arrêté du 6 mai 2010, a été élaboré conjointement par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et par la Direction générale de la modernisation de l'État (devenue la Direction interministérielle pour la modernisation de l'action publique). Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations.
La conformité au référentiel général de sécurité se traduit par l'application, d'une part, des règles relatives au cadre pour gérer la sécurité des systèmes d'information et, d'autre part, des règles relatives aux fonctions de sécurité mises en œuvre.
Conformément à l'article 14 de l'ordonnance n°2005-1516 du 8 décembre 2005, la conformité du présent téléservice doit être assurée avant le 18 mai 2013.
Sur les mesures de sécurité
Afin d'assurer la mise en conformité à l'ordonnance n°2005-1516 du 8 décembre 2005, le présent téléservice a fait l'objet d'une étude des risques de sécurité des systèmes d'information.
L'étude des risques a permis d'identifier les biens à protéger, les menaces et les objectifs de sécurité pour se protéger de manière proportionnée face aux risques. Les fonctions de sécurité et leur niveau ont été déduits, et les règles du référentiel général de sécurité afférentes à la fonction d'authentification d'un serveur ont été prises en considération.
La Commission note que le flux de données circulant entre le formulaire et le serveur web de la Commission est chiffré à l'aide d'un certificat électronique permettant d'authentifier le serveur (utilisation du protocole HTTPS). Par ailleurs, les données saisies sont vérifiées, les formats et le volume des pièces jointes sont limités, le réseau est cloisonné par rapport au réseau interne de la Commission, les accès sont contrôlés, les données sont sauvegardées et des traces journalisées. Un ensemble de mesures sur l'organisation, les locaux, les matériels, les logiciels et les réseaux, complète le dispositif de sécurité existant et des mesures complémentaires ont été déterminées pour l'améliorer.