AgentPublic/cnil huggingface dataset:
Sur la détermination du responsable de traitement et l'application de la loi du 6 janvier 1978   L'article 3 de la loi du 6 janvier 1978 modifiée dispose que le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens.   Il ressort du dossier de formalités préalables présenté par la société McDonald's France que cette dernière agit auprès de la CNIL en qualité de responsable du dispositif d'intégrité professionnelle qu'elle envisage de mettre en oeuvre, et en particulier des traitements de données opérés lors des enquêtes diligentées sur des employés déterminés à la suite d'un signalement opéré dans le cadre du dispositif.   Au-delà, l'incitation à utiliser ce dispositif, présente dans le "code d'éthique" établi par la société McDonald's France et les adaptations substantielles apportées par cette société, durant l'instruction du dossier, au dispositif initialement envisagé (suppression des projets de ligne téléphonique et d'adresse électronique dédiées au dispositif d'intégrité professionnelle) caractérisent la responsabilité de cette société sur le traitement de données personnelles envisagé au regard de l'article 3 de la loi précitée.   L'existence d'un contrat de flux transfrontières de données personnelles (de responsable de traitement à responsable de
traitement) avec la société McDonald's Corporation constitue un élément supplémentaire en ce sens.   La Commission constate en conséquence que la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est applicable au dispositif d'intégrité professionnelle présenté et qu'elle est donc compétente pour se prononcer sur la conformité du projet à cette loi.
Sur la procédure déclarative applicable   La Commission relève que le dispositif envisagé peut dans certains cas conduire le groupe McDonald's France à décider, au titre des "mesures correctives" qu'il doit prendre à la suite d'une alerte, à exclure des employés considérés fautifs du bénéfice de leur contrat de travail en l'absence de toute disposition législative ou réglementaire encadrant ce type de traitement.   Dès lors, la procédure d'autorisation prévue à l'article 25-I, 4° de la loi du 6 janvier 1978 modifiée doit être appliquée au traitement de données personnelles présenté.   Sur la conformité du dispositif présenté à la loi du 6 janvier 1978   La Commission considère que la mise en oeuvre par un employeur d'un dispositif destiné à organiser auprès de ses employés le recueil, quelle qu'en soit la forme, de données personnelles concernant des faits contraires aux règles de l'entreprise ou à la loi imputables à leurs collègues de travail, en ce qu'il pourrait conduire à un système organisé de délation professionnelle, ne peut qu'appeler de sa part une réserve de principe au regard de la loi du 6 janvier 1978 modifiée, et en particulier de son article 1er.   En ce sens, la Commission observe que la possibilité de réaliser une "alerte éthique" de façon anonyme ne pourrait que renforcer le risque de dénonciation calomnieuse.   Au surplus, la Commission estime que le dispositif présenté est disproportionné au regard des objectifs poursuivis et des risques de
dénonciations calomnieuses et de stigmatisation des employés objets d'une "alerte éthique". Elle relève à cet égard que d'autres moyens prévus par la loi existent d'ores et déjà afin de garantir le respect des dispositions légales et des règles fixées par l'entreprise (actions de sensibilisation par l'information et la formation des personnels, rôle d'audit et d'alerte des commissaires aux comptes en matière financière et comptable, saisine de l'inspection du travail ou des juridictions compétentes).   La Commission relève enfin que les employés objets d'un signalement ne seraient, par définition, pas informés dès l'enregistrement de données mettant en cause leur intégrité professionnelle ou de citoyen, et n'auraient donc pas les moyens de s'opposer à ce traitement de données les concernant. Les modalités de collecte et de traitement de ces données, dont certaines pourraient concerner des faits susceptibles d'être constitutifs d'infractions pénales, ne peuvent dès lors être considérées comme loyales au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Compte tenu de ces observations, la Commission n'autorise pas la mise en oeuvre du dispositif d'intégrité professionnelle présenté par la société McDonald's France.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 29 juillet 2004 d'une déclaration portant sur la mise en oeuvre d'un dispositif de "ligne éthique" au sein de la Compagnie européenne d'accumulateurs,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel,   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données,   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel,   Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :   Sur le dispositif présenté   La Compagnie européenne d'accumulateurs (CEAC) a saisi la CNIL d'une déclaration concernant la mise en oeuvre d'une "hotline" (ligne téléphonique dédiée) à destination de ses 1500 employés.   Ce dispositif de "ligne éthique", conçu par sa société mère Exide Technologies afin de se conformer aux dispositions de la loi américaine dite "Sarbanes-Oxley", devrait permettre à l'ensemble des salariés du groupe "de communiquer avec le comité de surveillance comptable du conseil d'administration d'Exide sur des sujets tels que les inexactitudes ou les irrégularités comptables qui pourraient être commises".   La "hotline" devrait également permettre aux salariés d'alerter les dirigeants du groupe sur les éventuelles violations des principes en vigueur dans l'entreprise (règles de conduite éthique ou commerciale) ou des lois en vigueur.   Le dispositif s'appuierait à la fois sur un numéro vert et sur une adresse électronique.   Dans les deux cas, les alertes et les demandes d'information seraient en fait adressées à un sous-traitant américain pour le compte de Exide Technologies. S'agissant des appels passés en langue française, un second prestataire de service américain interviendrait.   S'il le souhaitait, l'anonymat de l'appelant serait garanti.   Les sous-traitants seraient chargés d'enregistrer sur support informatique le contenu des demandes et des alertes selon la classification suivante : "(1) ressources
humaines ou problèmes de travail, (2) fraude ou vol, (3) erreur comptable, (4) problèmes liés aux principes de conduite et d'éthique".   En fonction de cette classification, un résumé écrit des appels et des messages électroniques reçus devrait ensuite être transmis, par e-mail crypté, aux personnes nommément désignées à cet effet par la société-mère (département juridique, département comptabilité, comité international, comité de vérification des comptes du conseil d'administration).   Le destinataire de l'information au sein d'Exide Technologies réaliserait ensuite, le cas échéant, une enquête interne. Celle-ci s'effectuerait en liaison avec le responsable juridique France (CEAC) qui recevrait les données nécessaires par courrier électronique.   Un "suivi de dossier" serait également adressé, par voie électronique, par la société-mère au responsable juridique France, qui le transmettrait au responsable des ressources humaines France.   Tout salarié concerné par un appel serait informé "le plus tôt possible des allégations prononcées à son encontre de telle sorte qu'il puisse s'expliquer".   Enfin, la durée de conservation des données serait limitée à une année.
Sur la détermination du responsable de traitement et l'application de la loi du 6 janvier 1978   L'article 3 de la loi du 6 janvier 1978 modifiée dispose que le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens.   Il ressort du dossier de formalités préalables présenté par la société CEAC que cette dernière agit auprès de la CNIL en qualité de responsable du dispositif de "ligne éthique" qu'elle envisage de mettre en oeuvre, et en particulier des traitements de données opérés lors des enquêtes diligentées sur des employés déterminés à la suite d'un signalement opéré dans le cadre du dispositif.   Dès lors, la Commission constate que la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est applicable au dispositif de "ligne éthique" présenté et qu'elle est donc compétente pour se prononcer sur la conformité du projet à cette loi.   Sur la procédure déclarative applicable   La Commission relève que le dispositif envisagé est susceptible de conduire la société CEAC à décider, au titre des mesures correctives qu'elle doit prendre à la suite d'un signalement, à exclure des employés considérés fautifs du bénéfice de leur contrat de travail en l'absence de toute disposition législative ou réglementaire encadrant ce type de
traitement.   Dès lors, la procédure d'autorisation prévue à l'article 25-1, 4° de la loi du 6 janvier 1978 modifiée doit être appliquée au traitement de données personnelles présenté.
Sur la conformité du dispositif présenté à la loi du 6 janvier 1978   La Commission considère que la mise en oeuvre par un employeur d'un dispositif destiné à organiser auprès de ses employés le recueil, quelle qu'en soit la forme, de données personnelles concernant des faits contraires aux règles de l'entreprise ou à la loi imputables à leurs collègues de travail, en ce qu'il pourrait conduire à un système organisé de délation professionnelle, ne peut qu'appeler de sa part une réserve de principe au regard de la loi du 6 janvier 1978 modifiée, et en particulier de son article 1er.   En ce sens, la Commission observe que la possibilité de réaliser une "alerte éthique" de façon anonyme ne pourrait que renforcer le risque de dénonciation calomnieuse.   Au surplus, la Commission estime que le dispositif présenté est disproportionné au regard des objectifs poursuivis et des risques de dénonciations calomnieuses et de stigmatisation des employés objets d'une "alerte éthique". Elle relève à cet égard que d'autres moyens prévus par la loi existent d'ores et déjà afin de garantir le respect des dispositions légales et des règles fixées par l'entreprise (actions de sensibilisation par l'information et la formation des personnels, rôle d'audit et d'alerte des commissaires aux comptes en matière financière et comptable, saisine de l'inspection du travail ou des juridictions compétentes).   La Commission relève enfin que les employés objets d'un signalement ne seraient, par
définition, pas informés dès l'enregistrement de données mettant en cause leur intégrité professionnelle ou de citoyen, et n'auraient donc pas les moyens de s'opposer à ce traitement de données les concernant. Les modalités de collecte et de traitement de ces données, dont certaines pourraient concerner des faits susceptibles d'être constitutifs d'infractions pénales, ne peuvent dès lors être considérées comme loyales au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Compte tenu de ces observations, la Commission n'autorise pas la mise en oeuvre du dispositif de "ligne éthique" présenté par la Compagnie européenne d'accumulateurs.   Le président, Alex TURK.
La Commission Nationale de l'Informatique et des Libertés,   Décide :
   Article 1er   L'article 8 est ainsi rédigé :   "Article 8   Interconnexions ou échanges d'informations   La présente norme simplifiée ne concerne pas les systèmes permettant une interconnexion ou un échange d'informations de l'état civil, hormis ceux prévus avec les destinataires définis à l'article 4."
   Article 2   L'article 9 est ainsi rédigé :   "Article 9   Pour pouvoir faire l'objet de la procédure de déclaration simplifiée de conformité à la présente norme simplifiée, les traitements automatisés d'informations nominatives visés ci-dessus doivent ne porter que sur des données objectives aisément contrôlables grâce à l'exercice du droit individuel d'accès ; ne pas donner lieu à des interconnexions avec d'autres traitements automatisés d'informations nominatives, sauf celles résultant éventuellement de l'article 4, ou à des transmissions autres que celles nécessaires à l'accomplissement des finalités énoncées à l'article 1 ; ne pas comporter d'informations autres que celles énumérées à l'article 2 ; satisfaire aux conditions énoncées aux articles 1 à 9."
   Article 3   La présente délibération sera publiée au Journal officiel de la République française.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ;   Vu le code des postes et des communications électroniques et notamment son article L. 34-5 ;   Vu le code de la consommation et notamment ses articles L. 121-20-5 et L. 134-2 ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 24 ;   Vu les délibérations n° 80-021 du 24 juin 1980, n° 81-16 du 17 février 1981 et n° 81-117 du 1er décembre 1981 modifiées respectivement par les délibérations n° 96-101, n° 96-102 et n° 96-103 du 19 novembre 1996 (normes simplifiées 11, 17 et 25) ;   Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire adjoint du Gouvernement, en ses observations ;
Formule les observations suivantes :   En vertu de l'article 24 de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés est habilitée à établir des normes destinées à simplifier l'obligation de déclaration des traitements les plus courants et dont la mise en oeuvre n'est pas susceptible de porter atteinte à la vie privée ou aux libertés.   Les traitements informatisés relatifs à la gestion des fichiers de clients et de prospects sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.   La Commission a adopté plusieurs normes simplifiées relatives à la gestion des fichiers de clients et de prospects, à savoir la norme simplifiée n° 11 relative à la gestion des clients actuels et potentiels, la norme simplifiée n° 17 concernant la gestion des fichiers de clientèle des entreprises dont l'objet social inclut la vente par correspondance et la norme simplifiée n° 25 concernant la gestion des fichiers de destinataires d'une publication périodique de presse.   Ces normes simplifiées ont fait l'objet d'une modification en 1996 afin d'envisager la collecte de données par des supports télématiques.   En raison de l'utilisation de plus en plus courante de l'internet, il est apparu nécessaire d'adopter une nouvelle norme simplifiée envisageant la collecte de données par internet ainsi que la prospection par voie électronique. Cette norme regroupe dans son champ d'application les traitements relevant des normes n° 11, 17
et 25. Elle permet aux responsables de traitement d'effectuer une déclaration simplifiée, dans les conditions qu'elle précise, pour les traitements relatifs aux personnes avec lesquelles des relations contractuelles sont nouées, les clients, et les clients potentiels, simples prospects, à l'exclusion de ceux mis en oeuvre par les établissements bancaires ou assimilés, les entreprises d'assurances, de santé et d'éducation.
Article 1er :   Peut bénéficier de la procédure de la déclaration simplifiée de conformité à la présente norme tout traitement automatisé relatif à la gestion des fichiers de clients et de prospects qui répond aux conditions suivantes.   Article 2 :   Finalités des traitements   Le traitement peut avoir tout ou partie des finalités suivantes :   . effectuer les opérations relatives à la gestion des clients concernant :   . Les contrats ;   . les commandes ;   . les livraisons ;   . les factures ;   . la comptabilité et en particulier la gestion des comptes clients ;   . la gestion d'un programme de fidélité à l'exclusion des programmes communs à plusieurs sociétés ;   . effectuer des opérations relatives à la prospection :   . constitution et gestion d'un fichier de prospects (ce qui inclut notamment les opérations techniques comme la normalisation, l'enrichissement et la déduplication) ;   . la sélection de clients pour réaliser des actions de prospection et de promotion ;   . la cession, la location ou l'échange du fichier de clients et de prospects ;   . l'élaboration de statistiques commerciales ;   . l'envoi de sollicitations.
Article 3 :   Données traitées   Les données susceptibles d'être traitées pour la réalisation des finalités décrites à l'article 2 sont :   a. l'identité : nom, prénoms, adresse, numéro de téléphone (fixe ou mobile), numéro de télécopie, adresse de courrier électronique, date de naissance, code interne de traitement permettant l'identification du client (ce code interne de traitement ne peut être le numéro d'inscription au répertoire national d'identification des personnes physiques, du numéro de sécurité sociale et du numéro de carte de bancaire) ;   b. les données relatives aux moyens de paiement : relevé d'identité postale ou bancaire, numéro de la transaction, numéro de chèque, numéro de carte bancaire ;   c. la situation familiale, économique et financière : nombre et âge du ou des enfant(s) au foyer, profession, domaine d'activité, catégorie socio-professionnelle ;   d. les données relatives à la relation commerciale : demandes de documentation, demandes d'essai, produit acheté, service ou abonnement souscrit, quantité, montant, périodicité, adresse de livraison, historique des achats, retour des produits, origine de la vente (vendeur, représentant) ou de la commande, correspondances avec le client et service-après-vente ;   e. les données relatives aux règlements des factures : modalités de règlements, remises consenties, informations relatives aux crédits souscrits (montant et durée, nom de l'organisme prêteur), reçus, impayés, relances, soldes.
Article 4 : L'utilisation d'un service de communication au public en ligne   La présente norme s'applique dans le cas où est utilisé un service de communication au public en ligne pour réaliser les finalités définies à l'article 2.   Dans ce cas, pourront être exploitées des données de connexion (date, heure, adresse Internet Protocole de l'ordinateur du visiteur, page consultée) à des seules fins statistiques d'estimation de la fréquentation du site.   Lorsque le responsable du service de communication au public en ligne utilise des procédés de collecte automatisés de données tendant à accéder, par voie de transmission électronique, à des informations stockées dans l'équipement terminal de connexion de l'utilisateur ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion (par exemple : cookies, applets Java, active X), les utilisateurs sont informés de la finalité de l'utilisation de ces procédés et des moyens dont ils disposent pour s'y opposer.
Article 5 : Les destinataires et les personnes habilitées à traiter les données   Peuvent seuls, dans les limites de leurs attributions respectives, avoir accès aux données à caractère personnel :   . les personnels chargés du service commercial et des services administratifs ;   . les supérieurs hiérarchiques de ces personnels ;   . les services chargés du contrôle (commissaire aux comptes, services chargés des procédures internes du contrôle ...) ;   . les entreprises extérieures liées contractuellement pour l'exécution d'un contrat.   Ces personnes assurent la stricte confidentialité des données à caractère personnel en leur possession.   Peuvent être destinataires des données, dans les limites de leurs attributions respectives :   . les organismes publics, exclusivement pour répondre aux obligations légales ;   . les auxiliaires de justice et les officiers ministériels dans le cadre de leur mission de recouvrement de créances ;   . les organismes chargés d'effectuer les recouvrements de créances.   Sous réserve des dispositions de l'article 7 de la présente délibération, les données relatives à l'identité (à l'exclusion du code interne de traitement permettant l'identification du client) ainsi que les informations relatives à la situation familiale, économique et financière peuvent être cédées, louées ou échangées, dès lors que les organismes destinataires s'engagent à ne les exploiter que pour s'adresser directement aux intéressés, pour des finalités exclusivement
commerciales.   Les données relatives à la relation commerciale susceptibles, eu égard au type de documentation demandé, à la nature du produit acheté, du service ou de l'abonnement souscrit, de faire apparaître indirectement les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la vie sexuelle de celles-ci ne peuvent être cédées, louées ou échangées qu'après avoir recueilli le consentement exprès de la personne concernée.
Article 6 : Durée de conservation   Les données à caractère personnel relatives aux clients ne peuvent être conservées au-delà de la durée strictement nécessaire à la gestion de la relation commerciale à l'exception de celles nécessaires à l'établissement de la preuve d'un droit ou d'un contrat qui peuvent être archivées conformément aux dispositions du code de commerce relatives à la durée de conservation des livres et documents créés à l'occasion d'activités commerciales et du code de la consommation relatives à la conservation des contrats conclus par voie électronique, en l'occurrence dix ans.   Les données à caractère personnel relatives aux prospects ne peuvent être conservées que pour la durée pendant laquelle elles sont nécessaires à la réalisation des opérations de prospection. La Commission recommande que les données collectées auprès de prospects soient supprimées au maximum un an après le dernier contact de leur part ou lorsqu'ils n'ont pas répondu à deux sollicitations successives.   Article 7 : Information des personnes concernées   Les personnes concernées sont informées, au moment de la collecte de leurs données, de l'identité du responsable du traitement, des finalités poursuivies, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à leur égard, d'un défaut de réponse, des destinataires des données, et de leurs droits d'accès, de rectification et d'opposition, pour des motifs légitimes, au traitement de leurs