AgentPublic/cnil huggingface dataset:
Compte tenu des finalités, des catégories de personnes concernées, des données à caractère personnel traitées, de la durée de conservation de celles-ci et des destinataires des traitements des données à caractère personnel issues de ces appareils de contrôle, la Commission considère que ceux-ci peuvent faire l'objet d'une telle dispense de déclaration sous réserve du strict respect des dispositions suivantes.  	
Article 1er : Finalités des traitements
Les traitements de données à caractère personnel doivent avoir pour seules finalités de contrôler l'utilisation des véhicules de transport de voyageurs et de marchandises conformément à la réglementation en vigueur et notamment à la législation sociale dans le domaine des transports par route.
Article 2 : Nature des données à caractère personnel traitées
Seules peuvent être traitées les données à caractère personnel prévues par la réglementation en vigueur, et notamment par l'article 4 du règlement (UE) n° 165/2014 du 4 février 2014.
Ces données sont, à titre principal, relatives à : •	La distance parcourue et la vitesse du véhicule ;•	La mesure du temps ;•	Pour les véhicules équipés d'un tachygraphe connecté à un service de positionnement s'appuyant sur un système de navigation par satellite (tachygraphe intelligent), les emplacements du véhicule enregistrés au début et à la fin de la période de travail journalière, ainsi que toutes les trois heures de temps de conduite accumulé, dans les conditions prévues par l'article 8 du règlement (UE) n° 165/20414 ;•	L'identité du conducteur ;•	L'activité du conducteur ;•	Les données relatives au contrôle, à l'étalonnage et à la réparation de l'appareil ;•	Les événements et les défaillances. A titre transitoire, jusqu'à l'application du règlement (UE) n° 165/2014 du 4 février 2014, seules peuvent être traitées les données listées par les annexes du règlement (CEE) n° 3821/85 du 20 décembre 1985 modifié.
Article 3 : Destinataires des données
Pour l'exercice des finalités précitées, peuvent seules avoir accès aux données les personnes prévues par la réglementation en vigueur, et notamment par le règlement (UE) n° 165/2014 du 4 février 2014. 
Ces destinataires sont, à titre principal : •	les installateurs et réparateurs agréés ;•	les agents de contrôle habilités ;•	les employeurs ;•	les conducteurs.Ces destinataires peuvent avoir accès aux seules données dont ils ont à connaître pour les besoins de leurs missions.
Article 4 : Durée de conservation des données
Conformément à la réglementation en vigueur et notamment à l'article 33 du règlement (UE) n° 165/2014 du 4 février 2014, l'employeur doit conserver les données (feuilles d'enregistrement et données imprimées) pendant au moins un an après leur utilisation. 
L'employeur peut cependant archiver les données pendant la durée de la prescription légale pour pouvoir faire face à d'éventuelles contestations sur le nombre d'heures effectuées par le salarié.
Article 5 : Sécurité
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.En particulier, le responsable de traitement doit garantir que seuls les destinataires identifiés seront en capacité d'accéder à l'ensemble des informations contenues dans le tachygraphe. Ces garanties doivent couvrir l'accès physique aux informations mais aussi l'accès distant aux informations. Enfin, les mesures de sécurités doivent garantir l'intégrité des données pour prémunir le système de toutes modifications des informations présentes dans le tachygraphe.
Article 6 : Information et droits des personnes
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées sont informées des finalités du traitement, des destinataires des données, ainsi que des modalités d'exercice de leurs droits d'accès, de rectification et de suppression. 
Concernant plus particulièrement les tachygraphes intelligents, l'article 9 du règlement (UE) n° 165/2014 du 4 février 2014 impose à l'employeur d'informer les conducteurs de la possibilité d'une communication des données aux autorités de contrôle, aux fins de détection à distance de toute manipulation ou utilisation abusive des tachygraphes. 
Cette information peut notamment être délivrée dans le contrat de travail du conducteur, par la remise à ce dernier de supports de communication adaptés ou par une mention affichée dans l'habitable du véhicule, visible par le conducteur lorsqu'il insère sa carte conducteur dans l'appareil. 
Par ailleurs, le conducteur doit pouvoir exercer son droit d'accès directement auprès de son employeur. Conformément à la réglementation en vigueur et notamment à l'article 33 du règlement (UE) n° 165/2014 du 4 février 2014, le conducteur doit notamment pouvoir obtenir une copie des données téléchargées depuis la carte conducteur et les versions imprimées de cette copie.
Article 7 : Effets de la dispense de déclaration
Les traitements répondant aux conditions visées aux articles 1 à 6 peuvent être mis en œuvre sans délai et sans déclaration préalable auprès de la CNIL.
La dispense de déclaration préalable auprès de la CNIL n'exonère le responsable de tels traitements d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel. En particulier, la Commission rappelle qu'elle se réserve le droit de contrôler le respect des dispositions de la présente délibération.  
Article 8 :
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet décret portant création d'un téléservice de l'administration électronique ;Vu la Convention n° 103 du Conseil de l'Europe pour la protection des personnes l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code du travail, notamment ses articles L. 5122-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;Vu la loi n° 2013-504 du 14 janvier 2013 relative à la sécurisation de l'emploi, notamment son article 18 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 8 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :Sur le fondement de l'article 27-II (4°) de la loi du 8 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère du travail, de l'emploi, de la formation professionnelle et du
dialogue social d'un projet de décret portant création, car l'Agence de services et de paiement, d'un téléservice de l'administration électronique visent à dématérialiser et simplifier la procédure de demande d'activité partielle et le versement des indemnisations correspondantes.
Sur la finalité du traitement
La mise en œuvre du téléserservice précité vise à permettre aux entreprises de réaliser de façon dématérialisée leurs demandes d'autorisation de placement en position, d'activité partielle de salariés et d'obtenir, le cas échéant, le paiement des indemnisations correspondantes.La commission prend acte que les objectifs poursuivis par ce téléservice consistent notamment à simplifier les démarches administratives, à réduire les délais de traitement, à accroitre la fiabilité des données ainsi qu'à faciliter le pilotage du dispositif.L'article 1er du projet de décret examiné par la commission précise que l'Agence de services et de paiement est autorisée à créer un traitement de données caractère personnel ayant pour finalité : 1° La gestion, le contrôle et le suivi des demandes préalables d'autorisation de placement d'activité partielle de salariés et les demandes d'indemnisation ;2° Le calcul et le paiement de l'allocation d'activité partielle versée à l'établissement ;3° L'élaboration de données statistiques et financières anonymisées .Le commission considère que ces finalités sont déterminées, explicites et légitimes.Sur la nature des données traitées :Le projet (le décret examiné par la commission mentionne les catégories de données collectées et traitées par l'Agence de services et de paiement, à savoir :
1° En cas de paiement de l'allocation de l'activité partielle à l'établissement :- le nom d'usage et le prénom ;- le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ;- la catégorie socioprofessionnelle ;
2° En cas de paiement direct aux salariés de l'allocation d'activité partielle :- le nom d'usage, le nom de naissance, le prénom, la civilité, la date de naissance ; la commune de naissance, le code INSEE de la commune de naissance,
- le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ;- l'adresse, le code postal et la ville de résidence ;- les coordonnées bancaires.S'agissant de l'utilisation : du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques, la commission prend acte que cette donnée sera utilisée pour s'assurer de l'identité des demandeurs d'une indemnisation et du respect des conditions légales justifiant son versement.La commission considère que la collecte et le traitement des données visées ci-dessus sont pertinentes, adéquates et non excessives au regard des finalités poursuivies.La commission relève néanmoins la collecte d'une catégorie de données non mentionne par le projet de décret, à savoir des identifiants de connexion. Il lui apparaît, dès lors, que le projet de décret devrait âtre complété à ce titre.
Sur la durée de conservation des données
Le projet de décret précise que les données à caractère personnel traitées par l'Agence de services et de paiement ne sont pas conservées au-delà du temps nécessaires pour :- gérer, contrôler et suivre les demandes préalables d'autorisation de placement en position d'activité partielle de salariés et les demandes d'indemnisation ;- calculer et payer les allocations d'activité partielle ;- établir des données statistiques et financières anonymisées.
La commission prend acte que les données seront effectivement conservées par l'Agence de services et de paiement pendant cinq ans.Le projet de décret précise, par ailleurs, que les données nécessaires à la gestion d'un contentieux relatif à une demande d'indemnisation seront conservées jusqu'au prononcé d'une décision de justice devenue définitive.La commission considère que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement des finalités poursuivies.Elle estime néanmoins que le projet de décret devrait être complété pour y mentionner la durée de conservation des identifiants de connexion, à savoir un an.
Sur les destinataires des données
Le projet de décret précise que les données du présent traitement, à l'exception du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques et pour les seules nécessités liées à leurs attributions respectives, sont communiquées aux agents habilités :
- de la délégation générale, à l'emploi et à la formation professionnelle ;- de l'organisme gestionnaire du régime d'assurance chômage ;
- des services déconcentrés du ministère du travail.
Le projet de décret précise également que les agents des services statistiques du ministère chargé de l'emploi désignés et habilités par leur autorité responsable sont destinataires des données du présent traitement, à l'exception des noms de famille, des noms marital et des numéros d'inscription des personnes au répertoire national d'identification des personnes physiques, et ce, uniquement pour élaborer des données statistiques financières anonymisées.La commission considère que ces destinataires présentent un intérêt légitime à connaître des données qui leur sont communiquées.
Sur l'information des personnes
La commission relève que la demande d'avis présentée par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social mentionne que les personnes concernées par le présent traitement seront informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur formulaire, une mention au le site internet du ministère, ainsi que par les conditions générales d'utilisation du téléservice.La commission considère que les mesures prévues au titre de l'information des personnes sont satisfaisantes.Sur les droits d'accès, de rectification et d'opposition des personnes :Le projet de décret prévoit que les droits d'accès et de rectification, prévus per les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exercent directement auprès de l'Agence de services et de paiement par courrier postal ou par courrier électroniques.La commission relève que le projet de décret n'écarte pas expressément l'application du droit d'opposition pour motif légitime.Les dispositions du projet de décret relatives aux droits d'accès, de rectification et d'opposition pour motif légitime n'appellent pas d'observation de la part de. la commission.
Sur la sécurité des données et la traçabilité des actions
La commission observe que l'authentification des utilisateurs est assurée au moyen de mot de passe alphanumériques. Elle rappelle, à ce titre, que des mots de passe doivent être régulièrernent renouvelés, comporter au minimum huit caractères et comprendre au moins une lettre, un chiffre et un caractère spécial. La commission rappelle également que les mots de passe des administrateurs doivent compter au minimum dix caractères.La commission rappelle que la transmission d'identifiants et de mot de passe par courrier électronique n'est pas de nature à en assurer pas la confidentialité. Elle recommande, par conséquent, que les mots de passe communiqués de cette façon soient obligatoirement modifias par les usagers à l'occasion de leur première connexion au service.La commission prend acte que des profils d'habilitation définissant les fonctions ou les types d'informations accessibles à un utilisateur ont été définis dans le cadre du présent traitement.Elle relève qu'une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression a été définie.La commission observe enfin que les échanges de données sont réalisés au moyen de canaux sécurisés notamment, que les données transmises sont chiffrées.
Le vice-président délégué,
E. de Givry
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu le code de la sécurité intérieure, notamment son article L.253-3 ;
Vu la loi n° 78-17 modifiée du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ;
Vu le décret n° 2005-1309 modifié du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la délibération  n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 61 ;
Après avoir entendu Mme Marie-France MAZARS, vice-présidente déléguée, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;
Décide :
Article 1er : Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 et à l'article L. 253-3 du code de la sécurité intérieure :
Mme Maryline ABIVEN, chef du service du droit d'accès indirect à la direction de la protection des droits et des sanctions ;Mme Fabienne AMIARD, juriste au service des affaires européennes et internationales ;Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;M. Franck BAUDOT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;M. Marc-André BEAUDET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;Mme Anna BENISTI, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;Mme Tiphaine BESSIERE, juriste au service du secteur économique à la direction de la conformité ;Mme Alexandra BLANCHET, juriste au service de la santé à la direction de la conformité ;Mme Coraline BORIE, juriste au service des sanctions à la direction de la protection des droits et des sanctions ;Mme Soumia BOUASSAM, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;Mme Céline BOYER, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;Mme Nathalie BUFFOTOT, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;M. Matthieu CAMUS, ingénieur
expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ;Mme Delphine CARNEL, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;Mme Johanna CARVAIS, responsable du pôle labels à la direction de la conformité ;Mme Anne-Sophie CASAL, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;M. Jérôme COUZIGOU, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;M. Geoffrey DELCROIX, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;M. Eric DELISLE, juriste au service des correspondants Informatique et Libertés  à la direction de la conformité ;M. Xavier DELPORTE, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;M. Olivier DESBIEY, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ;M. Edouard DOLLEY, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;Mme Alexandra DORE, juriste au service des contrôles à
la direction de la protection des droits et des sanctions ;M. Pape Fode DRAME, juriste au pôle label à la direction de la conformité ;M. Julien DROCHON, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;M. Nicolas de DROUIN DE BOUVILLE, juriste au service des affaires européennes et internationales ;M. Thomas DUONG, juriste au service de la santé à la direction de la conformité ;Mme Wafae EL BOUJEMAOUI, chef du service des questions sociales et ressources humaines à la direction de la conformité ;M. Lionel ERRANDONEA, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;Mme Marie FERTE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;Mme Florence FOURETS, directrice de la protection des droits et des sanctions ;M. Emile GABRIE, chef du service du secteur régalien et des collectivités locales à la direction de la conformité ;M. Edouard GEFFRAY, secrétaire général ;Mme Sophie GENVRESSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;M. Mathieu GINESTET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;Mme Clarisse GIROT, conseillère juridique au secrétariat général ;M. Matthieu GRALL, chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;M. Stéphane GRÉGOIRE, conseiller juridique au
secrétariat général ;M. Michel GUEDRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;Mme Myriam GUFFLET, responsable du pôle BCR à la direction de la conformité ;Mme Fatima HAMDI, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;M. Paul HEBERT, directeur adjoint de la conformité ;Mme Amandine JAMBERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;Mme Odile JAMI, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;M. Stéphane LABARTHE, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;Mme Alice de LA MURE juriste au service des correspondants Informatique et Libertés à la direction à de la conformité ;M. Bernard LAUNOIS, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;M. Gwendal LE GRAND, directeur des technologies et de l'innovation;Mme Lucie LE MOINE, chargée des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ; Mme Frédérique LESAULNIER, juriste au service de la santé à la direction de la conformité ;Mme Noémie LICHON, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;M. Laurent LIM,
juriste au service des affaires européennes et internationales ; M. Hervé MACHI, directeur de la conformité ;M. Mathias MOULIN, directeur adjoint de la protection des droits et des sanctions ;Mme Sophie NERBONNE, directrice adjointe de la conformité ;Mme Ingrid NKOUENJIN, juriste au service des correspondants informatique et libertés à la direction de la conformité ;Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;Mme Daniéla PARROT, chef du service des plaintes à la direction de la protection des droits et des sanctions ;M. Frédéric PATTE-BRASSEUR, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;M. Stéphane PETITCOLAS, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;Mme Astrid PEYRARD, juriste au service des sanctions à la direction de la protection des droits et des sanctions ;M. Judicaël PHAN, juriste au service du secteur économique à la direction de la conformité ;Mme Délia RAHAL-LOFSKOG, chef du service de la santé à la direction de la conformité ;Mme Dalila RAHMOUNI, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ;Mme Florence RAYNAL, chef du service des affaires européennes et internationales ; Mme Marie-Charlotte ROQUES-BONNET, juriste au service du secteur économique à la direction de la conformité ;M. Adrien