AgentPublic/cnil huggingface dataset:
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « formation RGPD » pour la formation intitulée « Formation DPO/DPD » de la société ANAXIL. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
Délibération n° 2018-279 du 21 juin 2018 portant labellisation de la procédure de gouvernance RGPD présentée par l’Agence de Mutualisation des Universités et Etablissements d’enseignement supérieur
(Saisine n° 18007138)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’Agence de Mutualisation des Universités et Etablissements d’enseignement supérieur, le 30 mars 2018, d’une demande de délivrance de label concernant la conformité de sa procédure de gouvernance  au Règlement européen Général sur la protection des Données ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-219 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de procédure de gouvernance tendant à assurer la protection des données ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La Commission reconnaît que la procédure de gouvernance portant sur le Règlement Général sur la Protection des Données présentée est conforme au référentiel auquel il se rapporte, conformément à l’article 37 du règlement intérieur.
Décide 
De la délivrance du label CNIL « Gouvernance RGPD » pour la procédure de gouvernance tendant à assurer la protection des données au sein de l’Agence de Mutualisation des Universités et Etablissements d’enseignement supérieur. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
La Présidente
 
x
 
Paris le 14 juillet 2018
 
Monsieur,
 
 Je fais suite à la décision n° 2017-073 que j’ai prise le 20 novembre 2017 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
 
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que des procédures de contrôle n° 2017-031C et 2017-041C.
 
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que celle de la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL, de manière identique à la mise en demeure.
 
De nouveaux constats effectués par la délégation de contrôle de la Commission ont en effet permis de relever que les propos échangés avec les jouets ne sont plus transférés vers les serveurs de la société […] situés […] et que la reconnaissance vocale n’est plus utilisée.
 
Dans ces conditions, il apparaît que l’utilisation des jouets ne conduit plus à mettre en œuvre un traitement relevant du champ d’application de la loi Informatique et Libertés du 6 janvier 1978 modifiée, applicable au jour des constats.
 
En tout état de cause, j’attire votre attention sur l’entrée en application du règlement européen 2016/679 sur la protection des données (RGPD) le 25 mai 2018 et notamment sur son article 3 qui prévoit que  l
e présent règlement s'applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union, lorsque les activités de traitement sont liées: a) à l'offre de biens ou de services à ces personnes concernées dans l'Union, qu'un paiement soit exigé ou non desdites personnes […].
 
Par conséquent, dès lors que vous vendez des produits à destination de personnes se trouvant sur le territoire de l’Union européenne, vous êtes soumis aux obligations incombant aux responsables de traitements prévues par le règlement précité. J’attire donc votre attention sur la nécessité, dans cette hypothèse, de veiller au respect du RGPD qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
 
S’agissant de la sécurisation des jouets, la délégation de la CNIL a constaté qu’il était toujours possible de s’appairer aux jouets, avec un dispositif équipé d’un système de communication BLUETOOTH, sans authentification. La CNIL n’étant plus compétente pour poursuivre les investigations relatives à ces jouets, je vous informe transmettre le dossier à la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) chargée de veiller à la sécurité et à la conformité des produits et services en France.
Enfin, je relève que si vous avez indiqué, dans votre courrier reçu le 22 décembre 2017, qu’une boite de dialogue contenant une information des personnes pourrait apparaître avant de compléter le formulaire accessible sur l’application […] collectant des données à caractère personnel, aucune mesure n’a été prise en ce sens. Je vous invite donc à compléter le formulaire, ou tout autre document directement porté à la connaissance des personnes, en y indiquant notamment l’identité du responsable du traitement, les finalités pour lesquelles les données sont collectées ainsi que l’existence des droits dont bénéficient les personnes.
 
Pour toute information complémentaire, vous pouvez contacter le service des sanctions (01.53.73.22.22).
 
Vous trouverez également ci-joint la version anglaise de ce courrier. Cette traduction a été réalisée pour information, seule la version française de ce document faisant foi. 
Je vous prie d’agréer, Monsieur, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Saisie par la société Digitemis, le 10 novembre 2017, d’une demande de délivrance de label concernant sa formation RGPD intitulée Gestion des données personnelles ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-220 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
 
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel .
La formation, objet de la demande, se compose comme suit :
Introduction : la gestion des données à caractère personnel ;
Présentation des droits des personnes à l’égard des traitements de données à caractère personnel ;
La CNIL : statut, composition, missions et organisation ;
Formalités préalables à la mise en œuvre des traitements ;
Les transferts de données hors Union Européenne ;
Le pouvoir de contrôle de la CNIL ;
Les sanctions pénales ;
La sous-traitance ;
Le délégué à la protection des données ;
L’encadrement des traitements dans le domaine de la santé.
La demande de label présentée par la société Digitemis inclut les modules complémentaires suivants :
présentation de la CNIL et de ses missions ;
présentation des formalités préalables à la mise en œuvre des traitements ;
présentation de l’encadrement des transferts de données hors de l’Union européenne ;
présentation du rôle du délégué à la protection des données ;
présentation de l’encadrement des traitements dans le domaine de la santé ;
présentation du pouvoir de contrôle a posteriori de la CNIL ;
présentation du pouvoir de sanction de la CNIL ;
présentation des dispositions pénales associées au non-respect du Règlement européen Général sur la Protection des Données.
 
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL formation RGPD pour la formation intitulée Gestion des données personnelles de la société Digitemis.
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
 
 
I. FALQUE-PIERROTIN
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, abrogée par le règlement (UE) 2016/679 du Parlement européen et du conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu le Code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2018-027C du 2 février 2018 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de X ;
Vu le procès-verbal de contrôle n° 2018-027 du 15 février 2018 ;
Vu la saisine n°[…] ;
Vu les autres pièces du dossier ;
Les faits constatés
X (ci-après x ou la société ) est une SARL sise […]. C’est une école privée d’enseignement supérieur qui délivre des formations de niveau bac +2 à bac +5 dans le secteur économique tertiaire (comptabilité, informatique, ressources humaines, commerce, etc.).
L’école compte entre 600 et 800 étudiants inscrits chaque année et emploie entre 10 et 15 salariés (personnel administratif), outre 60 enseignants intervenants. Elle a réalisé un chiffre d’affaires d’environ [… ] euros en 2016, pour un résultat en bénéfice d’environ […] euros.
Les locaux de l’entreprise sont répartis sur deux sites : […] et […] (salle de cours, cafétéria, bureaux administratifs).
En application de la décision no 2018-027C du 2 février 2018 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après CNIL ou la Commission ), une délégation de la CNIL a procédé à une mission de contrôle sur place auprès des deux sites de X le 15 février 2018. La mission a notamment eu pour objet de vérifier la conformité à la loi du 6 janvier 1978 modifiée (ci-après Loi informatique et libertés ) de l’ensemble des traitements de données à caractère personnel mis en œuvre par la société.
La délégation a constaté que vingt-quatre caméras ont été installées dans les locaux de la société situés […], filmant notamment des bureaux, les salles de cours, les salles de vie commune et la cour de la copropriété. Seize caméras ont été installées dans les locaux de la société situés […], filmant notamment la cafétéria et les salles de cours. Les caméras sont fixes, filment en couleur sans prise de son et sur détection de mouvement.
Le dispositif de vidéosurveillance a été déclaré à la CNIL le 12 mai 2009 sous le numéro 1361738.
La délégation a constaté qu’un panneau d’information relatif à la vidéosurveillance était installé à l’entrée des locaux sis […] et qu’aucun panneau n’était apposé au […], ni dans la cour de la copropriété du […]. Le directeur de la société a également informé la délégation que les élèves sont informés de la présence d’un système de vidéosurveillance par le biais des conditions générales jointes au contrat d’inscription. Les salariés (personnel administratif et enseignants) ne font l’objet d’aucune information particulière relative au système de vidéosurveillance.
Il a été constaté que les images issues des systèmes de vidéosurveillance sont enregistrées et peuvent être consultées, en direct ou non, depuis le bureau de la direction pour les caméras du […], et depuis le bureau du personnel administratif pour les caméras du […]. La délégation a également constaté que l’accès au logiciel de visionnage ne nécessite aucun mot de passe pour se connecter au compte administrateur du logiciel. Elle a également été informée que la session Windows du poste de travail du directeur ne nécessite pas de mot de passe et n’est jamais déconnectée.
À l’occasion de son contrôle, la délégation a constaté la présence d’enregistrements issus de la vidéosurveillance remontants au 28 décembre 2017.
Les manquements au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation de veiller à l’adéquation, à la pertinence et au caractère non excessif des données
La société a justifié la mise en œuvre de son dispositif par la protection des biens et des personnes (vols, agressions, dégradations) et pour éviter les débordements des étudiants. Elle a également précisé à la délégation que le système de vidéosurveillance n’était pas utilisé pour effectuer une surveillance des salariés ni des étudiants.
En premier lieu, la délégation a constaté que le dispositif de vidéosurveillance installé filmait par détection de mouvement, donc en continu dès qu’une ou plusieurs personnes se trouvaient dans une pièce, l’ensemble des salles de classe (également lieu de travail des enseignants intervenants) et des lieux de vie des étudiants (caméras 1 à 14 du dispositif grande centrale et CAM 01 et 04 du dispositif petit écran ).
La CNIL considère de manière constante que si des caméras peuvent filmer les accès de l’établissement (entrées et sorties) et les espaces de circulation, il est exclu de filmer les lieux de vie pendant les heures d’ouverture de l’établissement, sauf circonstances exceptionnelles non démontrées en l’espèce.
En effet, la seule évocation de deux vols par la société n’apparait pas justifier de placer les personnes dans une situation de surveillance constance, pas plus que l’évocation de soucis de violence entre étudiants et entre des enseignants et étudiants avant la mise en place du dispositif, ces derniers n’étant étayés par aucun élément factuel (tel qu’un dépôt de plainte ou un compte rendu d’incident).
La configuration de ce dispositif conduit à lui conférer un caractère excessif en ce qu’il place les étudiants et les enseignants dans une situation de surveillance permanente.
En second lieu, la délégation a été informée que la caméra dénommée CAM 03, installée dans les locaux situés au […], filmait le bureau de la responsable des inscriptions. Ce système permet également de filmer de manière continue le poste de travail d’une salariée.
Or, la CNIL considère de manière constante que le fait de filmer en continu les postes de travail de certains employés est disproportionné, sauf circonstance particulière, par exemple lorsqu’un employé manipule des fonds ou des objets de valeur ou lorsque le responsable de traitement est à même de justifier de vols ou de dégradations commises sur ces zones.
En l’espèce, la délégation a été informée que cette caméra a notamment pour objet de visionner le bureau de la responsable des inscriptions. Dans ces circonstances, la mise sous surveillance constante de la salariée n’apparaît pas justifiée et doit être considérée comme manifestement disproportionnée et excessive au regard de la finalité déclarée.
Il résulte de ce qui précède que l’ensemble de ces faits constitue un manquement aux obligations prévues au 3° de l’article 6 de la loi n°78-17 du 6 janvier 1978 qui dispose que les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs .
Un manquement à l’obligation d’informer les personnes
En premier lieu, la délégation a constaté que les conditions générales d’inscription, annexées au contrat d’inscription signé par l’élève ou son représentant légal s’il est mineur, comprennent une mention relative à la vidéosurveillance. Elle a été informé qu’aucune information n’est en revanche communiquée au personnel administratif de l’école, pas plus qu’aux enseignants, ni dans leur contrat de travail ni dans le règlement intérieur.
Si les conditions générales annexées au contrat d’inscription contiennent une mention relative à la vidéosurveillance, ces informations concernent le droit à l’image, donc le respect de la vie privée tel que posé par l’article 9 du Code civil.
L’article 6 des conditions générales d’inscription (intitulé Sur le droit à l’image de étudiants ) indique simplement que l’établissement est équipé de caméras utilisées dans un but de surveillance du comportement des étudiants et du respect par ces derniers du règlement intérieur . Le reste de la clause est relatif à la cession à la société desdits droits à l’image par l’étudiant ou son représentant légal.
Les personnes concernées ne sont pas informées notamment de l’identité du responsable du traitement, des destinataires, de la durée de conservation des images ou des droits des personnes.
Il en va de même pour les employés administratifs et les enseignants, pour lesquels aucune information n’est communiquée quant au traitement de données déployé.
En second lieu, la délégation a constaté qu’aucun panneau d’information n’était apposé dans la cour de copropriété du […], pourtant filmée en continu par la caméra CAM 06 du dispositif petit écran .
La délégation a également constaté que la signalisation de la vidéosurveillance à l’entrée des bâtiments était incomplète dans les locaux du […], et inexistante dans les locaux du […]. Le panneau à l’entrée de l’école au niveau du numéro […] se contente d’indiquer l’existence du système de vidéosurveillance, et le directeur de l’établissement en sa qualité de responsable du traitement.
Ces faits constituent un manquement au I de l’article 32 de la loi n°78-17 du 6 janvier 1978 modifiée, applicable au jour des constats, qui imposait de fournir à la personne concernée un certain nombre d’informations quant au traitement de données mis en œuvre et notamment l’identité du responsable de traitement, sa finalité, ses destinataires, l’indication des droit des personnes, ainsi que les données et catégories de personnes concernées.
Il est rappelé qu’en application des articles 131-41 et R625-10 du Code pénal combinés, le fait pour la personne morale responsable d’un traitement de ne pas informer, dans les conditions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est puni d’une peine d’amende pouvant atteindre 7 500 €.
Un manquement à l’obligation d’assurer la sécurité et la confidentialité des données
La délégation a constaté qu’un poste informatique permettait l’accès aux images en temps réel et aux images enregistrées tant dans les locaux situés […] que ceux situés […]. Dans ce dernier lieu, les images sont retransmises sur un écran présent dans le bureau du personnel administratif.
L’accès à la session Windows du poste informatique dans le bureau de direction situé […] n’est pas protégé par un mot de passe. La session n'est en outre jamais déconnectée. Le bureau est simplement fermé à clef en cas d’absence.
En outre, le logiciel utilisé pour la visualisation des images dans les deux locaux ne nécessite la saisie d’aucun mot de passe au démarrage et se connecte au compte administrateur (intitulé […] ) du logiciel.
L’ensemble de ces mesures ne permet pas au responsable du traitement de s’assurer de la sécurité des données, notamment d’empêcher des tiers non autorisés d’y avoir accès.
Ces faits constituent donc un manquement à l’article 34 de la loi 78-17 du 6 janvier 1978 modifiée disposant que le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès .
Il est rappelé qu’en application des articles 226-17 et 131-41 du Code pénal combinés, le fait pour une personne morale de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l’article 34 de la loi 78-17 du 6 janvier 1978 modifiée précitée est puni d’une peine d’amende pouvant atteindre 1 500 000 €.
Un manquement à l’obligation de respecter une durée de conservation des données
La déclaration effectuée auprès de la CNIL le 12 mai 2009 (n° 1361738) concernant ce système de vidéosurveillance indique une durée de conservation des données de 30 jours. Or, il ressort des constatations opérées que des enregistrements datés du 28 décembre 2017 étaient accessibles au jour du contrôle, donc remontant à 49 jours.
Ces faits constituent un manquement aux obligations découlant du 5° de l’article 6 de la loi du 6 janvier 1978 modifiée, applicable au jour des constats, qui prévoit que les données à caractère personnel sont conservées pendant une durée qui n’excède pas celle nécessaire aux finalités pour lesquelles elles sont collectées et traitées.