AgentPublic/cnil huggingface dataset:
En effet, la collecte et la conservation de l'adresse IP n'est aujourd'hui requise que dans des cadres légaux strictement définis. Le premier d'entre eux est celui fixé par l'article L. 34-1 du CPCE, qui impose aux opérateurs de communications électroniques de conserver les données relatives au trafic durant un an pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales ou d'un manquement à l'obligation définie à l'article L. 336-3 du code de la propriété intellectuelle (prévention du téléchargement et de la mise à disposition illicites d'œuvres et d'objets protégés par un droit d'auteur ou un droit voisin). 
De même, la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN) impose aux fournisseurs d'hébergement et aux fournisseurs d'accès à Internet de conserver les données de nature à permettre l'identification des personnes ayant contribué à la création de contenus mis en ligne (blogs, pages personnelles, annonces sur un site de vente aux enchères ...), aux fins de communication éventuelle aux autorités judiciaires ainsi qu'aux services en charge de la lutte contre le terrorisme.
Or, en l'espèce, la société n'est ni opérateur de communications électroniques, ni fournisseur d'hébergement ou fournisseur d'accès à internet. De ce fait, aucune obligation légale n'impose à la société de conserver les adresses IP associées aux contenus, date et heure des requêtes effectuées sur le portail [...].
La formation restreinte considère donc cette collecte comme inadéquate, non-pertinente et excessive, contrairement aux exigences posées par l'article 6-3° susmentionné.
- Sur les manquements constatés et la publicité de la décision
Sans qu'il soit besoin de statuer sur les autres manquements, la formation restreinte considère, au vu de ce qui précède, que la société X s'est rendue responsable de plusieurs violations des dispositions de la loi du 6 janvier 1978 modifiée.
Elle prend acte du fait que la société a suspendu le service dit de webcrawl du service [...]. Toutefois, elle relève que la procédure d'avertissement n'est pas soumise à l'adoption d'une mise en demeure préalable à laquelle la société aurait la faculté de se conformer pour échapper à toute sanction. Elle peut donc décider de sanctionner des faits passés, quand bien même les manquements auraient cessé. 
En l'espèce, compte tenu de la sensibilité du service offert par la société X, du nombre de personnes concernées par le service litigieux (25 millions de personnes) et de l'importance de prévenir le renouvellement de ces manquements, la formation restreinte adresse un avertissement à l'encontre de la société.
En outre, afin que les personnes soient informées des droits leur étant accordés par la loi quant à la protection de leurs données à caractère personnel, et que les responsables de traitement soient mis en mesure de connaître les règles qui s'imposent à eux, la formation restreinte décide que cet avertissement sera rendu public. 
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :
- De prononcer un avertissement à l'encontre de la société X ;
- De rendre public cet avertissement.
 
La Présidente,
 
Claire DAVAL
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 13 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée, notamment son article 3 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission ;
Après qu'il a été procédé au vote en la présence du Commissaire du gouvernement ;
Constate :
Article 1er : Mme Isabelle FALQUE-PIERROTIN est élue présidente.
Article 2 : La présidente de la Commission est chargée de l'exécution de la présente délibération qui sera publiée au Journal Officiel.
Le Vice-président délégué
 
Emmanuel de GIVRY
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée ; 
Vu la loi n°2009-526 du 12 mai 2009 de simplification et de clarification du droit et d'allègement des procédures ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée ; 
Vu la délibération n°2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu M. Jean-François Carrez, en son rapport et Mme Elisabeth Rolin commissaire du Gouvernement, en ses observations ; 
L'article 11, c, 3° de la loi du 6 janvier 1978 modifiée dispose que la CNIL délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, après qu'elles les a reconnus conformes aux dispositions de la loi du 6 janvier 1978 modifiée. Conformément aux dispositions de l'article 13 de la loi susvisée, elle modifie le règlement intérieur afin de préciser les modalités de mise en œuvre de la procédure de labellisation.
La présente délibération modifie le règlement intérieur et fixe la procédure applicable à la délivrance des labels. Les labels sont délivrés pour une durée de trois ans. Leur titulaire est soumis à l'ensemble des dispositions de la présente délibération.
Décide
 :
Article 1 : Il est inséré, après le chapitre IV du règlement intérieur, un chapitre IV bis ainsi rédigé : 
Chapitre IVbis Procédure de labellisation 
Section 1 : Comité de labellisation
Article 53-1 : Le Comité de labellisation est composé de membres de la Commission désigné par le Président. Le Comité désigne en son sein un Président.
Le Président du Comité de labellisation préside les réunions du Comité, qu'il convoque en tant que de besoin et au moins une fois par an, et dont il fixe l'ordre du jour.
Le Comité de labellisation :
• propose des orientations relatives à la politique de labellisation, notamment celles relatives aux demandes de création de label adressées par une organisation professionnelle ou à une institution regroupant principalement des responsables de traitements,
• élabore les projets de référentiels aux fins de labellisation de produits ou de procédures,
• évalue la conformité des demandes de label aux référentiels de labellisation de produits ou de procédure. Il peut auditionner le demandeur ou toute personne susceptible de l'aider dans l'accomplissement de ses missions.
Le Comité est assisté dans ses travaux par les services de la Commission qui en assurent le secrétariat.
Section 2 : Procédure d'élaboration de référentiels aux fins de labellisation de produits ou de procédures
Article 53-2 : Conformément à l'article 11, 3°, c de la loi du 6 janvier 1978 modifiée, il appartient à une organisation professionnelle ou à une institution regroupant principalement des responsables de traitements de demander à la Commission de créer un label relatif à des produits ou des procédures.
Article 53-3 : I. Le Président de la Commission, sur proposition du Comité de labellisation, informe l'organisation ou l'institution, à l'origine de la demande, de l'opportunité pour la Commission de faire suite à cette demande. 
II. Lorsque le Président de la Commission estime opportun de faire suite à cette demande, un référentiel définissant les caractéristiques que doit présenter un produit ou une procédure afin que celui-ci soit reconnu conforme aux dispositions de la loi du 6 janvier 1978 modifiée est élaboré. Ce référentiel précise les modalités d'appréciation de cette conformité et, le cas échéant, les particularités relatives aux vérifications subséquentes à la délivrance du label.
Selon le produit ou la procédure, des référentiels distincts sont adoptés par la Commission. 
III. L'avis des représentants des parties intéressées et notamment des associations ou organismes représentatifs des professionnels et des usagers peut être recueilli lors de l'élaboration d'un référentiel.
Article 53-4 : Chaque délibération portant référentiel aux fins de labellisation de produits ou de procédures est adoptée par la Commission réunie en formation plénière.
Les référentiels sont modifiés par la Commission dans les mêmes formes. 
Section 3 : Procédure d'évaluation de la conformité aux référentiels de labellisation de produits ou de procédures
Paragraphe 1er : Dépôt et examen de la recevabilité d'un dossier de demande de label
Article 53-5 : Sur proposition du Secrétaire Général et après avis du Comité de labellisation, le président de la CNIL fixe le modèle de formulaire à utiliser pour demander la délivrance d'un label ainsi que, le cas échéant, les annexes destinées à compléter les informations du formulaire. Cette demande doit préciser le référentiel auquel se rapporte le produit ou la procédure et doit comporter notamment la description du produit ou de la procédure à évaluer, ainsi que les objectifs ou garanties particulières en termes de protection des données attestant de la conformité du produit ou de la procédure à ce référentiel. 
Article 53-6 : I. La demande d'obtention d'un label pour un produit ou une procédure doit être adressée à la Commission par lettre remise contre signature. 
Un numéro d'enregistrement est attribué par la Commission à chaque demande. Il constitue une référence obligatoire en cas de demandes ultérieures relatives au même produit ou procédure.
II. Plusieurs personnes juridiques distinctes peuvent solliciter un label de manière conjointe, aux fins de faire un usage commun du produit ou de la procédure labellisé. Dans une telle hypothèse, le dossier de demande de label comporte l'engagement de ces personnes de maintenir leur collaboration pendant toute la durée du label. En cas d'interruption de la collaboration des organismes ayant obtenu la délivrance d'un label conjoint, le ou les organismes qui souhaiteraient conserver le label doivent déposer une nouvelle demande en ce sens à la Commission.
Article 53-7 : Le Président examine la recevabilité de la demande dans un délai de deux mois à compter de l'attribution du numéro d'enregistrement. Afin d'être recevable, la demande doit être complète conformément aux dispositions de la section 4 du présent Chapitre, et le produit ou la procédure objet de celle-ci doit correspondre au référentiel auquel il se rapporte. 
Le Président notifie au demandeur par lettre remise contre signature le caractère recevable ou irrecevable de sa demande. 
Lorsque la demande est recevable, le Président informe également le demandeur du délai nécessaire pour procéder à l'évaluation du produit ou de la procédure. 
La demande est réputée rejetée en cas d'absence de réponse du Président dans un délai de deux mois à compter de la réception de la demande.
Paragraphe 2 : Évaluation du produit ou de la procédure
Article 53-8 : L'instruction de la demande consiste à évaluer la conformité du produit ou de la procédure au référentiel auquel il se rapporte. Cette évaluation est réalisée par les services de la Commission qui peuvent soumettre le produit ou la procédure à des tests visant à vérifier sa conformité au référentiel. 
Dans le cadre de cette évaluation, les services peuvent demander communication de toutes pièces utiles et entendre toutes personnes susceptibles de fournir les informations nécessaires relatives au produit ou la procédure évalué.
Le demandeur peut, à tout moment, modifier ou retirer sa demande initiale par voie postale.
Article 53-9 : Au terme de la période d'instruction, le ou les rapporteurs désignés parmi les membres du Comité de labellisation, établissent un rapport concluant, ou non, à la conformité du produit ou de la procédure évaluée au référentiel auquel il se rapporte.
Le rapport et le projet de délibération correspondant sont inscrits à l'ordre du jour de la séance plénière de la Commission.
Article 53-10 : Si la Commission réunie en formation plénière reconnait que le produit ou la procédure est conforme au référentiel auquel il se rapporte, elle délivre un label. Dans le cas contraire, le label est refusé. 
Paragraphe 3 : Délibération portant délivrance d'un label
Article 53-11 : Les labels délivrés par la Commission le sont pour une durée de trois ans renouvelable dans les conditions prévues au présent chapitre.
Article 58-12 : La délibération portant délivrance ou de refus d'un label est notifiée par lettre remise contre signature, dans un délai de huit jours à compter de la décision de la Commission. En cas de délivrance, elle indique les conditions d'utilisation du logo Label CNIL . En cas de refus, elle indique les voies et délais de recours applicables. 
Paragraphe 4 : Modification d'un produit ou d'une procédure labellisé
Article 53-13 : La Commission doit être informée sans délai de toute modification d'un produit ou d'une procédure labélisé. 
Les services de la Commission peuvent demander communication de tout document leur permettant d'apprécier si les modifications sont de telle nature qu'elles nécessitent une nouvelle évaluation. 
Le Président notifie au titulaire par lettre remise contre signature la suite donnée à l'instruction de sa demande. 
Dans les cas où une nouvelle évaluation du produit ou de la procédure est nécessaire, elle est réalisée dans les conditions décrites aux articles 53-8 à 53-12 de la présente délibération.
Article 53-14 : Dans les cas où la Commission, suite à la nouvelle procédure d'évaluation, décide de délivrer le label, celui-ci est valable pendant une durée de trois ans, conformément à l'article 53-11 de la présente délibération.
Section 4 : Vérification du respect du label, retrait et renouvellement
Paragraphe 1 : Vérification et retrait d'un label
Article 53-15 : La Commission peut vérifier à tout moment que le produit ou la procédure labellisé respectent les conditions définies dans le référentiel.
Toute personne ayant recours à un produit ou une procédure labellisé et qui constaterait que celui-ci ne semble pas conforme au référentiel peut le signaler à la Commission. 
Article 53-16 : Si des faits ou des circonstances susceptibles de remettre en cause la conformité d'un produit ou d'une procédure labellisée parviennent à la connaissance de la Commission, le Président en informe le titulaire qui dispose d'un délai d'un mois pour transmettre ses observations.
À l'expiration de ce délai d'un mois, si aucune information satisfaisante n'a été communiquée par le titulaire, le Président en informe le Comité de labellisation qui désigne en son sein un rapporteur. Le rapporteur procède à l'instruction du dossier assisté des services de la Commission. A l'issue de son instruction, il établit un rapport ainsi qu'un projet de délibération qu'il présente en séance plénière. 
La Commission réunie en séance plénière peut décider de retirer le label précédemment délivré.
Article 53-17 : La délibération portant retrait d'un label de la Commission est notifiée par lettre remise contre signature, dans un délai de huit jours. Le courrier de notification mentionne les voies et délais de recours.
Dans le cas contraire, la procédure est close par l'envoi d'une lettre du président ou du vice-président délégué au titulaire du label.
Paragraphe 2 : Renouvellement du label délivré à un produit ou à une procédure
Article 53-18 : Au moins six mois avant la date d'échéance d'un label, son titulaire transmet à la Commission une demande de renouvellement à l'aide du formulaire et des annexes préalablement fixés par le président. La demande est instruite conformément aux articles 53-8 à 53-12 de la présente délibération.
Lorsqu'une demande de renouvellement a été déposée, le label est prolongé jusqu'à ce que la Commission se soit prononcée. 
Section 5 : Publicité
Article 53-19: Les décisions de délivrance d'un label, de retrait ou de reconduction d'un label sont rendues publiques.
Article 53-20: La Commission tient à la disposition du public sur son site la liste des produits ou procédures labellisés. Cette liste précise la date à laquelle expire le label ainsi que le nom de son titulaire. 
Article 2 : L'article 69 du règlement intérieur est ainsi modifié : après les mots les recommandations sont insérés les mots les référentiels aux fins de labellisation de produits ou de procédures .
Article 3 : La présente délibération est publiée au Journal officiel de la République française.
Le Président
Alex TÜRK
La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment ses articles 8-IV et 25-I-1° ; 
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la loi n°2001-624 du 17 juillet 2001 portant diverses dispositions d'ordre social, éducatif et culturel ; 
Vu l'ordonnance n°2005-1092 du 1 septembre 2005 relative au régime de protection des mineurs accueillis hors du domicile parental à l'occasion des vacances scolaires, des congés professionnels ou des loisirs ; 
Vu le décret n°2006-923 du 26 juillet 2006 relatif à la protection des mineurs accueillis hors du domicile parental et modifiant le code de l'action sociale et des familles (partie réglementaire).
Après avoir entendu, M. Philippe GOSSELIN, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par la Communauté de communes du pays mornantais d'un traitement de données à caractère personnel ayant pour finalité la gestion des jeunes accueillis dans des  espaces jeunes  à l'occasion de vacances, de congés professionnels ou de loisirs.
Ce traitement relève du régime de l'autorisation prévu aux articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, applicables aux traitements comportant des données à caractère personnel relatives à la santé des personnes concernées.
Sur les finalités poursuivies par le traitement
La finalité du traitement est la gestion des jeunes adhérents aux  espaces jeunes  de la communauté de communes, qui sont accueillis à l'occasion de vacances, de congés professionnels ou de loisirs.
Le traitement de données est mis en œuvre en application de l'ordonnance n°2005-1092 du 1er septembre 2005 relative au régime de protection des mineurs accueillis hors du domicile parental à l'occasion des vacances scolaires, des congés professionnels ou des loisirs.
Sur les catégories de données traitées
Les données concernant la personne aidée concernent : - son identité (nom, prénoms, date et lieu de naissance, adresse, courriel, numéro de téléphone) ;- l'identité de ses responsables légaux (nom, prénom, adresse, courriel, numéro de téléphone, employeur, profession, lieu de travail) ;- son quotient familial (quotient familial, numéro d'allocataire CAF) ;- les informations utiles pendant le séjour de l'enfant concernant sa santé (vaccinations, traitements médicaux à suivre, maladies contractées, allergies, difficultés de santé, précautions à prendre, recommandations utiles de la part des parents).
Ces données sont directement saisies par les responsables légaux de l'enfant, au moyen du dossier d'inscription des jeunes ou bien, concernant les informations relatives à la santé de l'enfant, la fiche sanitaire de liaison mise à disposition par le ministère de la Jeunesse et des Sports (CERFA n°10008*02). 
La Commission recommande que, dans le dossier d'inscription des jeunes, la saisie des informations en champ libre soit strictement encadrée.
Pour éviter l'enregistrement de commentaires inappropriés, et garantir que les données contenues dans les zones commentaires sont pertinentes, adéquates et non excessives au regard de la finalité du traitement, elle recommande que la mention suivante apparaisse dans les champs libres à remplir :  Seules doivent être saisies les informations susceptibles d'être pertinentes au regard du contexte. Elles ne doivent pas comporter d'appréciation subjective, ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les mœurs de la personne concernée .
Sur les catégories de destinataires
Seuls les agents habilités de la Communauté de communes du pays mornantais peuvent accéder aux données traitées (service jeunesse intercommunal) strictement nécessaires à l'exercice de leurs missions.
Sur la durée de conservation
Initialement, les données devaient être conservées pendant 3 années. 
Sur recommandation de la Commission, la Communauté de communes du pays mornantais a choisi de conserver les données 2 années à compter de la dernière opération enregistrée sur le dossier de la personne suivie. 
Sur la sécurité
La CNIL recommande que le mot de passe utilisé soit composé de caractères numériques et alphabétiques, de minuscule et majuscules et d'au moins un caractère spécial. Il doit être renouvelé régulièrement, c'est-à-dire au moins une fois par an.
Par ailleurs, la Commission recommande la mise en œuvre d'une journalisation des connexions. Celle-ci doit renseigner les données accédées. 
Sur l'information des personnes concernées et le droit d'accès
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, l'information des personnes concernées est effectuée par le biais de mentions  Informatique et libertés  sur le dossier d'inscription du jeune.
Le droit d'accès défini à l'article 39 de la loi du 6 janvier 1978 modifiée en 2004 s'exerce directement auprès de la Communauté de communes du pays mornantais.
La Commission relève que le traitement déclaré correspond à une gestion efficace, légitime et strictement nécessaire des données relatives à la prise en charge des jeunes accueillis.
Dans ces conditions, la Commission autorise la Communauté de communes du pays mornantais à mettre en œuvre le traitement de données à caractère personnel présenté.
 
Le Président
Alex TÜRK
(Autorisation 1406625)
La Commission nationale de l'informatique et des libertés, 
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment le 3° de l’article 25 - I ;
Vu la demande d’autorisation déposée le 23 décembre 2009, relative à un traitement automatisé de données à caractère personnel « gestion du casier sanitaire » ayant pour finalité de gérer les dossiers de plainte des usagers en matière sanitaire, d’assurer le suivi des plaintes et des réponses apportées 
Après avoir entendu M. Dominique RICHARD, commissaire, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations, 
Formule les observations suivantes :