AgentPublic/cnil huggingface dataset:
Décide :   Article 1er :   Sont dispensés de déclaration les traitements de données à caractère personnel qui sont relatifs à la dématérialisation des marchés publics mis en oeuvre par les organismes publics visés à l'article 2 du code des marchés publics et correspondant aux finalités définies à l'article 2 de la présente délibération.   Article 2 : Finalités du traitement   Les traitements doivent avoir pour seules fonctions :   - la publication, la transmission et la mise à disposition par voie électronique des documents relatifs aux offres de marchés publics réalisées par les organismes publics soumis au code des marchés publics;   - la réception par ces organismes des offres et les réponses liées à la passation d'un marché public ;   - la tenue, par les organismes publics soumis au code des marchés publics, d'un journal des évènements pouvant contenir notamment : la mention de la mise en ligne de l'avis d'appel public à la concurrence, du règlement de consultation, du dossier de consultation des entreprises et des modifications qui ont pu y être apportées, de la liste des personnes ayant téléchargé les documents, la mention de tous les échanges d'information intervenus avec ces personnes, les références des candidatures et des offres reçues ;   - la gestion de manière sécurisée des candidatures, des offres, des notifications et des courriers nécessaires à la passation d'un marché public.   Toute réutilisation des données à caractère personnel à des fins de
prospection commerciale est interdite.
Article 3 :  Données traitées   Les données traitées pour la réalisation des finalités décrites à l'article 2 sont :   - les noms, prénoms, adresse professionnelle, fonctions, numéro de téléphone, numéro de télécopie, adresse de courrier électronique, le certificat électronique et les éléments de signature électronique de la ou des personne(s) qui, au sein de l'organisme public, sont chargées du suivi de la procédure de passation du marché public.   - les noms, prénoms, adresse professionnelle, fonctions, numéro de téléphone, numéro de télécopie, adresse de courrier électronique et, le cas échéant, le certificat électronique et les éléments de signature électronique de la ou des personne(s) répondant à une offre de marché public.   - les documents nécessaires à la procédure de passation des marchés publics et notamment : l'avis d'appel public à la concurrence, le dossier de consultation des entreprises, le règlement de consultation, les réponses faites à ces offres par les candidats ainsi que les pièces justificatives qui y sont attachées (article 45 du code des marchés publics).
Article 4 :  Destinataires des données   Dans la limite de leurs attributions respectives, seuls peuvent être destinataires de tout ou partie des informations :   - les personnes habilitées chargées de la gestion de marchés publics par l'organisme public soumis au code des marchés publics ;   - les personnes morales de droit privé ou de droit public ou les personnes privées auxquelles sont destinées ces offres, à l'exclusion des données relatives aux autres personnes répondant à des offres de marchés publics ;   - les organismes publics, exclusivement pour répondre aux obligations légales.   Article 5 :  Recours à un prestataire   Les données visées à l'article 3 peuvent être communiquées aux prestataires intervenant éventuellement dans la procédure de passation des marchés publics, à savoir : les prestataires fournisseurs de plate-forme technique de dématérialisation des marchés publics ainsi que les fournisseurs de moyens de cryptologie et les tiers prestataires de services de cryptologie et d'horodatage agissant en tant que sous-traitant dans les conditions de l'article 35 de la loi du 6 janvier 1978 modifiée.   Ces destinataires et sous-traitants assurent la sécurité et la stricte confidentialité des données personnelles en leur possession.   Une convention signée avec le prestataire doit définir les opérations que celui-ci est autorisé à réaliser à partir des données à caractère personnel qui lui sont transmises, ainsi que les engagements qu'il prend pour garantir
leur sécurité et leur confidentialité, en particulier l'interdiction d'utiliser les données à d'autres fins que celles indiquées par la convention. Le prestataire doit procéder à la destruction ou à la restitution de tous les fichiers stockant les informations dès l'achèvement de son contrat.   Article 6 : Durée de conservation   Les données visées à l'article 3 sont conservées et traitées pour la durée nécessaire à la passation du marché public.   Cependant ces données peuvent ensuite faire l'objet d'un archivage sur un support informatique distinct et dont l'accès est sécurisé et restreint aux personnes visées à l'article 4 de la présente norme.   Cet archivage sera effectué conformément aux délais de prescription légaux applicables aux documents des dossiers de marchés publics.
Article 7 :  Information des personnes concernées   Les personnes concernées sont informées de l'identité du responsable du traitement, des finalités poursuivies par le traitement, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à leur égard, d'un défaut de réponse, des destinataires des données, de leur droit d'opposition et de rectification ainsi que des modalités d'exercice de leurs droits.   Cette information est délivrée notamment au travers des documents électroniques transmis lors de la procédure de passation d'un marché public par voie électronique. Cette information peut aussi figurer sur les portails d'accès aux offres de marchés publics.   Article 8 : Sécurités   Des mesures de protection physique et logique doivent être prises par la personne publique et, le cas échéant, par les prestataires visés à l'article 5, pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse des informations, notamment par des tiers non autorisés, et en préserver l'intégrité.   Les accès individuels à l'application s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification afin que ces accès ne puissent s'effectuer que des seuls postes autorisés.   Les échanges avec la plate-forme de dématérialisation des marchés publics doivent s'effectuer au moyen d'une liaison sécurisée. De surcroît, les documents désignés
comme tels par le code des marchés publics doivent être signés électroniquement et, le cas échéant, chiffrés.   Ces mesures doivent notamment permettre le contrôle de l'accès, l'identification et la confidentialité des échanges intervenant entre l'organisme public et les candidats que ceux-ci soient effectués de façon directe ou par l'intermédiaire d'un prestataire.   Article 9 : Transmissions de données vers des pays tiers à la Communauté européenne   Ne peuvent prétendre au bénéfice de l'exonération les traitements automatisés comportant la transmission de données à caractère personnel vers des pays tiers à l'Union européenne, y compris lorsque cette transmission est réalisée à des fins de sous-traitance. Ces traitements font l'objet de formalités déclaratives préalables auprès de la CNIL dans les conditions prévues par la loi du 6 janvier 1978 modifiée.
Article 10 : Effets de la dispense de déclaration   Les traitements répondant aux conditions visées aux articles 2 à 8 peuvent être mis en oeuvre sans délai et sans déclaration préalable auprès de la CNIL.   La dispense de déclaration n'exonère le responsable de tels traitements d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel.   Article 11 :   La présente délibération est publiée au Journal officiel de la République française.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la demande d'avis en date du 10 décembre 2004 du ministre délégué à l'industrie concernant un projet de décret relatif aux conditions d'exploitation des réseaux et à la fourniture de services de communications électroniques ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;   Vu la directive 2002/22/CE du Parlement européen et du Conseil du 7 mars 2002 concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;   Vu la loi n° 2004-669 du 9 juillet 2004 relative aux communications électroniques et aux services de communication audiovisuelle ;
Vu le code des postes et des communications électroniques, notamment ses articles L. 33-1, L. 33-2 et L. 34-1 ;   Après avoir entendu M. Didier Gasse, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :   Le projet de décret dont est saisie la Commission est pris en application des articles L. 33-1 et L. 33-2 du code des postes et des communications électroniques modifiés par la loi du 9 juillet 2004. Il procède à une refonte de deux premières sections du chapitre consacré au régime juridique des communications électroniques. Les dispositions prévues par le projet de décret concernent essentiellement les obligations qui incombent aux exploitants de réseaux ouverts au public et aux opérateurs de services de communications électroniques.   Celles de ces dispositions qui concernent directement la protection des données à caractère personnel pourraient être complétées ou clarifiées afin de garantir un meilleur niveau de protection des utilisateurs concernés.   Sur la référence à l'avis de la CNIL,   L'article 11 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, prévoit que la Commission est consultée sur tout projet de loi ou de décret relatif à la protection des personnes à l'égard des traitements automatisés.  Il conviendrait donc de viser l'avis de la Commission même si les articles L. 33-1 et L. 33-2 du code des postes et des communications électroniques ne le prévoient pas expressément.   Sur les dispositions abrogées par le décret,   Dans le projet adressé à la Commission, qui comporte quatre articles, l'article 2 a été omis, tandis que l'article 3 se borne à abroger les seuls articles D. 99-4 et D. 99-5 de la section
2.   Le décret devrait prévoir explicitement les articles et titres de section qui sont abrogés ou modifiés.
Sur les "règles portant sur les conditions de confidentialité et de neutralité au regard des messages transmis et des informations liées aux communications" (article D. 98-5),   Les dispositions du I. de l'article D. 98-5 issu du projet de décret n'appellent pas d'observations de fond. Toutefois, la Commission souhaite attirer l'attention du pouvoir réglementaire sur nécessité de prévoir dans le code des postes et des communications électroniques une disposition permettant aux opérateurs de communications électroniques, principalement les fournisseurs d'accès internet, de mettre en place les mesures techniques nécessaires pour permettre le bon fonctionnement de leurs réseaux, notamment par la mise en place de filtres destinés à bloquer les courriers électroniques indésirables.   Les dispositions du II. visent le "traitement des données à caractère personnel". Parmi celles-ci, les dispositions propres à la mise en oeuvre de certains services appellent les observations suivantes.   Le 1) pourrait être modifié pour que soit abandonnée la référence à l'article R. 10-2 qui va être supprimé par le projet de décret modifiant le décret du 1er août 2003 relatif aux annuaires universels.   La Commission relève que les dispositions des 3) et 4) applicables au service permettant l'identification de l'appelant sont déjà prévues par le code des postes et des communications électroniques. Elle souligne que la disposition prévue au troisième alinéa du 3) - qui impose à l'opérateur de
proposer un moyen simple et gratuit permettant à un abonné disposant du secret permanent de supprimer cette fonction appel par appel - n'est toujours pas mise en oeuvre par les opérateurs téléphoniques.
La Commission estime que les différentes dispositions relatives à la protection des données à caractère personnel qu'un opérateur de communications électroniques doit respecter dans le cadre de son activité pourraient être utilement complétées en rappelant l'obligation issue du III. de l'article L. 34-1 du code des postes et des communications électroniques qui prévoit que les opérateurs ne peuvent réaliser un traitement de ces données en vue de commercialiser leurs propres services de communications que si les abonnés y ont expressément consenti et pour une durée déterminée. Ce rappel serait de nature à compléter les obligations que doivent respecter les opérateurs dans le cadre du traitement des données à caractère personnel de leurs utilisateurs en rappelant une disposition essentielle garantissant le respect de la vie privée de ces derniers.   Enfin, la Commission estime que l'obligation d'information des abonnés ne devrait pas concerner uniquement les droits mentionnés au 1) du II., mais l'ensemble des dispositions du II. de l'article D. 98-5.   Sur les "Règles portant sur les prescriptions exigées par l'ordre publie, la défense nationale et la sécurité publique" (article D. 98-7),   L'article D. 98-7 issu du projet de décret énumère les obligations des opérateurs de communications électroniques en vue de se conformer aux prescriptions exigées par l'ordre public, la défense nationale et la sécurité publique et leur impose, notamment, de permettre aux autorités
judiciaires, aux services de police et de gendarmerie nationales, aux services d'incendie et de secours et aux services d'aide médicale urgente, agissant dans le cadre de missions judiciaires ou d'interventions de secours, d'avoir accès à leurs listes d'abonnés ou d'utilisateurs complètes, non expurgées - c'est-à-dire comprenant les coordonnées des personnes bénéficiant notamment de la protection de la "liste rouge" - et mises à jour.   Il résulte de la rédaction issu du projet de décret que, dans le cas où un accès direct aux listes non expurgées des opérateurs est offert, les services énoncés ci-dessus pourront disposer en permanence des informations contenues dans ces listes.   La Commission rappelle que lorsqu'ils agissent en qualité de "tiers autorisés", les services de l'Etat ne peuvent avoir accès aux données que sur demande ponctuelle et motivée et que cet accès n'est permis qu'à la seule fin de faciliter la mission de ces services.   Ces garanties devraient être rappelées dans le projet de décret.   Par ailleurs, la Commission relève que l'accès direct des services de police ou de gendarmerie aux listes d'abonnés des opérateurs relève des dispositions de l'article 26 I. 2° de la loi du 6 janvier 1978 modifiée. En effet, la "consultation" de données à caractère personnel constitue en elle-même un traitement automatisé de données à caractère personnel (article 2 de la loi) qui, lorsqu'elle a pour objet la prévention, la recherche, la constatation ou la poursuite
d'infractions pénales doit être autorisée par arrêté du ou des ministres compétents, pris après avis motivé et publié de la CNIL. L'avis de la CNIL prévu à l'article 26 de la loi "informatique et libertés" sera l'occasion pour la Commission de rappeler les garanties entourant l'accès direct par les "tiers autorisés" aux listes des abonnés des opérateurs.
Sur les "règles portant sur l'acheminement et la localisation des appels d'urgence" (article D. 98-8),   L'article D. 98-8 prévoit l'acheminement gratuit des appels d'urgence vers le centre compétent correspondant à la localisation de l'appelant et, surtout, la transmission aux services d'urgence des données de localisation de l'appelant.   La Commission relève que cette obligation est prévue par l'article L. 34-1 du code des postes et des communications électroniques. Toutefois, la Commission constate que le projet de décret d'application de cette disposition ne reprend pas les garanties prévues par la loi en ce qui concerne la finalité - permettre la réalisation de l'opération de secours - et la durée de traitement - jusqu'à l'aboutissement de l'opération de secours - du traitement de la donnée de localisation. Il conviendrait donc que ces garanties soient a minima rappelées, sinon développées, par le projet de décret.
Sur les "règles portant sur l'information et la protection des utilisateurs" (article D. 98-12),   L'article D. 98-12 issu du projet de décret traite des "règles portant sur l'information et la protection des utilisateurs".  Le I. de cet article concerne l'"information des utilisateurs".   La Commission estime que cet article pourrait être utilement complété afin que soit mentionnée l'information prévue à l'article L. 34 du code des postes et des communications électroniques.   et émet un avis favorable au projet présenté sous réserve des propositions de modification ci-dessous :   - Le décret devrait viser l'avis de la CNIL ;   - Le décret devrait mieux préciser dans ses articles 2 et 3 les articles du code des postes et des communications électroniques abrogés ou modifiés ;   - L'article D. 98-5 II 1) pourrait abandonner la référence à l'article R. 10-2 ;   - L'article D. 98-5 II. pourrait être complété par un nouveau paragraphe 6) qui rappellerait que les opérateurs ne peuvent réaliser un traitement des données relatives au trafic en vue de commercialiser leurs propres services de communications que si les abonnés y ont expressément consenti et pour une durée déterminée ;   - L'obligation d'information visée à l'avant-dernier alinéa du II. de l'article D. 98-5 ne devrait pas concerner uniquement les droits mentionnés au 1) du II., mais l'ensemble des dispositions du II. de cet article.   - L'article D. 98-7 III. devrait préciser que l'accès à la liste d'abonnés ou
d'utilisateurs non expurgée s'effectue "sur demande ponctuelle et motivée" et aux fins exclusives de faciliter la mission des services qui en bénéficient ;   Le dernier alinéa de l'article D. 98-8 devrait être complété pour reprendre et préciser les garanties prévues par le IV. de l'article L. 34-1 du code des postes et des communications électroniques ;   - L'article D. 98-12 devrait être complété pour viser l'information prévue à l'article L. 34 du code des postes et des communications électroniques.   Le président, M. Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 15 ;   Vu la délibération n° 04-001 du 3 février 2004 portant élection du président de la Commission nationale de l'informatique et des libertés ;   Après avoir entendu le président de la Commission en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
   Article 1er :  Le président est chargé d'exercer les attributions de la Commission nationale de l'informatique et des libertés en ce qui concerne l'application des articles 23, I, troisième alinéa, 11, 2° c, e, f et 4° d, 41 et 42, 54, 63, 64 et 65, 69, dernier alinéa et 70, premier alinéa de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée.   Article 2 :  Le président de la Commission est chargé de l'exécution de la présente décision qui sera publiée au Journal officiel.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie d'une déclaration d'un traitement automatisé de données à caractère personnel ayant pour finalité de limiter le nombre de chèques impayés en paiement de prestations voyageurs, parvenue à la Commission le 18 novembre 2004,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Après avoir entendu M. Philippe Nogrix, Commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations,
Formule les observations suivantes :   La SNCF a déposé auprès de la CNIL un dossier de mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité de procéder à des contrôles lors du paiement par chèque des prestations voyageurs.   La Commission considère qu'il y a lieu de faire application des nouvelles dispositions applicables en matière de formalités préalables, en particulier de l'article 25, 4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
   Autorise la SNCF à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité de limiter le nombre de chèques impayés en paiement de prestations voyageurs.   Le droit d'accès défini au chapitre VII de la loi s'exerce auprès de la direction des opérations financières de la SNCF, 45 rue de Londres, 75008 Paris.   Les catégories de données à caractère personnel enregistrées sont relatives à la piste CMC7 et au montant du chèque, à la clé RLMC du chèque, la date et la gare de présentation, aux chèques impayés en cours.   Les destinataires des informations sont les agents habilités de la SNCF et de la Banque de France.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie d'une déclaration d'un traitement automatisé de données à caractère personnel ayant pour finalité de permettre d'éviter d'encaisser des chèques pour des comptes bancaires en incident non régularisé, parvenue à la Commission le 5 novembre 2004 ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 ;   Après avoir entendu M. Philippe Nogrix, Commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, Commissaire du Gouvernement en ses observations,