AgentPublic/cnil huggingface dataset:
Le Conseil départemental du Bas-Rhin a saisi la Commission en vue d’être autorisé à numériser, indexer et diffuser sur Internet un ensemble de données permettant d’identifier des soldats qui, originaires du territoire départemental, ont participé à la Première Guerre mondiale.
Les archives concernées ont notamment la particularité d’avoir été reconstituées à partir des données initialement traitées par l’Office national des anciens combattants (ONAC) dans le cadre des demandes  de carte de combattant au titre de 1914-1918 déposées après-guerre. 
Cette opération participe au programme national des manifestations organisées pour commémorer le centenaire de la Première Guerre mondiale.
L’objectif est de constituer et de mettre à disposition des sources de connaissance des parcours individuels des soldats mobilisés durant ce conflit afin d’entretenir le devoir de mémoire et d’alimenter les analyses historiques en ouvrant aux internautes, citoyens et chercheurs, professionnels et amateurs, l’accès à une source archivistique.
L’indexation projetée s’inscrit dans le projet global du Centenaire porté par le Service interministériel des Archives de France. Aucune finalité commerciale n’a été évoquée.
Au nombre de 70.000 environ, les dossiers de demandes de carte de combattant  contiennent des données d’état civil (nom, prénoms, date et lieu de naissance) ainsi que des données dites « d’observations » rattachées à la catégorie des données sensibles au sens des articles 8 et 9 de la loi  6 janvier 1978 modifiée.
Une base de données nominative constituée à partir de l’indexation des données précitées sera mise en ligne pour être librement consultée par le public.
Le champ relatif aux « observations » contenant des données sensibles ne fera pas l’objet d’une indexation en ligne et ne sera visible qu’en salle de lecture des archives départementales. 
Dès lors que la finalité des traitements envisagés ne se limite pas à assurer la conservation à long terme de documents d’archives, ces traitements sont soumis aux formalités préalables prévues au chapitre IV de la loi du 6 janvier 1978 modifiée.
En application de l’alinéa 3 de l’article 36 de cette loi, les données à caractère personnel peuvent être conservées au-delà de la durée prévue au 5° de l’article 6 de la loi Informatique et Libertés à des fins autres qu’historiques, statistiques ou scientifiques, soit avec l’accord exprès de la personne concernée, soit avec l’autorisation de la Commission. Le recueil de l’accord exprès des personnes concernées étant difficile compte tenu de la multiplicité et de l’ancienneté des documents en cause, ces traitements relèvent de l’autorisation de la Commission conformément à la disposition précitée de l’article 36. Dans la mesure où ils sont susceptibles de comporter des données sensibles au sens des articles 8 et 9 de la loi Informatique et Libertés, ces traitements relèvent précisément du régime d’autorisation prévu par l’article 25-I-1°) de la même loi. 
Par ailleurs, les caractéristiques des traitements envisagés pour faciliter l’accessibilité au grand public (à savoir, diffusion massive et indexation sur les nom et prénom) n’entrent pas intégralement dans le cadre défini par la délibération n°2012-113 de la Commission du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des informations publiques aux fins de communication et de diffusion par les services d’archives publiques (AU-029). La Commission est donc saisie d’une demande d’autorisation ad hoc.
La Commission a déjà autorisé trois ministères ainsi que les conseils départementaux responsables de services d’archives publics à mettre en œuvre des traitements automatisés de données à caractère personnel ayant pour finalités de numériser, indexer, conserver et diffuser sur Internet les « registres matricules » des soldats ayant participé à la Première Guerre mondiale (délibérations n° 2013-281 du 10 octobre 2013 et n° 2015-074 du 26 février 2015 susvisées).
Elle observe que le traitement qui lui est soumis pour autorisation ne concerne pas  des archives de « registres de matricules »  issues des bureaux de recrutement militaire. 
Le département du Bas-Rhin ne prévoit pas la numérisation et la diffusion des états signalétiques et de services reconstitués après-guerre par l’administration française dès lors qu’ils ne comportent pas d’indication sur les parcours militaires intéressant les usagers dans leur démarche de commémoration.
La Commission relève cependant que les  données issues de demandes  de carte de combattant déposées auprès de l’ONAC contiennent des informations identiques à celles contenues dans les « registres matricules », à savoir l’identité civile des soldats engagés ainsi que les indications relatives à leur vie militaire. Ces données permettent de connaitre les parcours militaires des anciens combattants et présentent à ce titre un intérêt pour la démarche de commémoration. La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard des finalités du traitement.
La Commission relève que le dispositif du Département est similaire à ceux mis en œuvre par les services d’archives publics départementaux et les services d’archives des ministères de la Culture, de la Défense et des Affaires étrangères, dans le cadre des délibérations n° 2013-281 du 10 octobre 2013 et n° 2015-074 du 26 février 2015 susmentionnées. Bien que le dispositif envisagé ne soit pas conforme à l’AU-029 précitée, ces traitements poursuivent des finalités historique et mémorielle. De plus, les données traitées ne concernent principalement que des soldats décédés (décès du dernier « poilu » en 2008).
Cependant et s’agissant des instruments de recherche mis en œuvre dans le cadre du traitement envisagé, la Commission observe qu’une opération d’indexation sur plusieurs données dont les noms et prénom(s) du soldat  est prévue.
A cet égard la Commission rappelle que le traitement ne devra pas inclure d’outils de saisie semi-automatique ou tout autre outil soumettant à l’internaute la liste des noms les plus recherchés.
De même le contenu des dossiers de demande de carte d’ancien combattant ne  devra pas être directement accessible depuis les moteurs de recherche externes.
Aussi, la Commission relève que, contrairement au traitement relatif à l’indexation et à la diffusion des archives de registres matricules tel qu’autorisé dans sa délibération n° 2013-281 du 10 octobre 2013,  l’indexation des données contenues dans les dossiers de demande de carte d’ancien combattant  porte notamment sur des données relatives à l’armée d’enrôlement des soldats (armée allemande ou française). Ces données étant de nature à porter atteinte à la vie privée des ayants droits des soldats mentionnés dans les index, la Commission demande à ce que toute mention relative à l’armée d’enrôlement soit occultée au stade de l’indexation pour n’être accessible qu’au moment de la consultation individuelle des dossiers.
Dans ces conditions et sous réserve du respect de celles figurant dans sa délibération n° 2013-281 du 10 octobre 2013 précitée, la Commission autorise le Conseil départemental du Bas-Rhin à mettre en œuvre des traitements de données à caractère personnel ayant pour finalité d’indexer et de diffuser sur Internet les renseignements issus des dossiers archivés de demandes de carte de combattant 1914/1918 de l’ONAC.
Elle considère que, dans la mesure où leur finalité se limite à assurer la conservation à long terme de données à caractère personnel dans des conditions prévues par le livre II du code du patrimoine, les traitements mis en œuvre à des fins de collecte et de reconstitution, de numérisation, de stockage, de classement et d’indexation relèvent de la dispense légale de formalité prévue à l’alinéa 2 de l’article 36 de la loi « Informatique et Libertés ». Elle précise néanmoins que les instruments de classement et d’indexation peuvent être mis à disposition des internautes dans les conditions évoquées par la présente délibération.
Autorise, conformément à la présente délibération, le Conseil départemental du Bas-Rhin à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
(demande d’autorisation n°  2050559)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse nationale de l’assurance vieillesse d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités et des agressions subies par ses agents ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9, 25-I-3° et 4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la Caisse nationale de l’assurance vieillesse (CNAV), en qualité d’organisme chargé de la branche Retraite du régime général de la sécurité sociale, d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités et/ou des agressions commises par les usagers à l’encontre de son personnel.
Dans la mesure où ce traitement a, d’une part, vocation à porter notamment sur des données relatives à des infractions pénales et, d’autre part, qu’il est susceptible du fait de sa nature, de sa portée et de ses finalités d’exclure temporairement des personnes de la faculté de se rendre dans les locaux de l’un des organismes pendant un temps limité, il y a lieu de faire application des dispositions prévues au 3° et 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, qui prévoient que la création de ces catégories de traitement doit être autorisée par la Commission. 
Sur la finalité
Dans le cadre de l’exercice de leurs missions d’accueil, de suivi et d’accompagnement des usagers, les employés de la branche Retraite de la sécurité sociale (CNAV Ile-de-France, caisse d’assurance retraite et de la santé (CARSAT), caisse générale de sécurité sociale (CGSS) et caisse de sécurité sociale (CSS)) peuvent être confrontés à des actes d’incivilité ou à des agressions susceptibles de prendre la forme d’insultes, de menaces, d’agression physique ou psychologique, ou encore de destruction d’objets de la part d’usagers. 
Aussi, la CNAV souhaite mettre en place pour l’ensemble des caisses susvisées, un traitement automatisé de données à caractère personnel dénommé « Outil national de déclaration des incivilités et des agressions en ligne » (ODIL) permettant, d’une part, d’identifier les incivilités et agressions subies par les employés afin de proposer des actions de prévention et de correction à mettre en place et, d’autre part, de gérer les suites à donner à ces dernières par la caisse concernée. 
A cet égard, chacun des organismes est susceptible de prendre des mesures qui peuvent prendre la forme, en fonction de la gravité de la situation, d’un courrier de rappel à l’ordre assorti de mise en garde en cas de récidive ou d’une suspension temporaire de l’accès aux locaux pour une durée de dix à quinze jours.
Sur ce dernier point, la Commission prend acte que les usagers ne seront pas privés de leurs indemnisations et/ou de la possibilité d’accéder aux autres services offerts par la CNAV et qui sont accessibles par l’intermédiaire des autres canaux de communication (Internet et téléphone). 
Un suivi statistique des incivilités et agressions, ainsi qu’une analyse de leurs causes, seront réalisés par la CNAV afin d’identifier les récurrences et alimenter ainsi les actions de prévention mises en place. 
La Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes conformément aux dispositions de l’article 6-2° de la loi Informatique et Libertés.
Sur les données traitées
La Commission prend acte que les informations permettant d’identifier directement ou indirectement la personne concernée ne seront pas collectées de manière systématique pour chaque incident mais en fonction des situations rencontrées et des suites données aux événements.
Les données collectées et enregistrées dans le cadre du traitement « ODIL » peuvent être relatives :
à l’identité de la victime : nom, prénom, numéro de l’agent, emploi occupé, service, lieu de travail, coordonnées professionnelles (numéro de téléphone et adresse courriel professionnels) ;
à l’identité de l’agresseur : profil de l’agresseur (menu déroulant proposant : assuré sans dossier, assuré avec demande ou droit en cours, tiers sans procuration, tiers avec procuration, représentant légal de l’assuré, entreprise cliente, assuré à domicile, autre le cas échéant), motifs de la visite et autres informations sur l’agresseur (champ de saisie libre) ;
au contexte de l’acte : lieu, date et heure, et le cas échéant, le nom et les coordonnées du ou des témoins (le numéro de téléphone ou l’adresse postale) ;
aux faits : nature de l’acte (un menu déroulant proposant : agression physique, agression verbale en face à face, agression verbale au téléphone, agression psychologique, dégradation matérielle, autre avec complément d’information), description des faits ;
au ressenti de la victime : intensité de la « douleur » ressentie par la victime sur une échelle d’émoticônes ;
aux mesures d’accompagnement : dans un premier temps, une zone d’expression libre dédiée à la victime afin d’indiquer les mesures d’accompagnement et la prise en charge souhaitées et, dans un deuxième temps, les informations relatives aux mesures d’accompagnement mises en œuvre.
La Commission prend note qu’aucune mention de l’évènement ne sera mise au dossier de l’assuré, sauf dans les cas les plus graves, et plus particulièrement lorsqu’une mesure d’exclusion est prononcée à l’encontre de l’assuré.
S’agissant des champs libres, la Commission prend acte que le numéro de sécurité sociale (NIR) de l’agresseur ne pourra pas être renseigné par la victime. Elle rappelle que les commentaires ne doivent pas être inappropriés, subjectifs ou insultants et qu’ils ne doivent donc contenir que des mentions neutres et factuelles.
La Commission relève que les exposés des faits contenus dans l’outil « ODIL » peuvent se rapporter à une infraction pénale, lorsque le comportement litigieux est susceptible d’être qualifié comme tel.
A cet égard, la Commission considère que la collecte des données pouvant se rapporter à des infractions pénales est légitime et conforme aux dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée.
La Commission considère que les données collectées et enregistrées dans le traitement sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires
Dans la limite de leurs attributions respectives, et chacun pour ce qui le concerne, seuls peuvent accéder aux informations enregistrées dans le traitement :
les responsables de proximité, responsables hiérarchiques de l’employé victime ;
le référent incivilité RH au sein du service RH d’une des caisses, ainsi que, le cas échéant, le personnel du service RH ayant à agir dans l’écoute et l’orientation de la prise en charge ;
le service médical de la caisse, et le cas échéant, les experts en psychologie du cabinet « Pros-consulte » ;
les membres du Comité d’hygiène, de sécurité et des conditions de travail (CHSCT).
Par ailleurs, la Commission relève que le directeur général de l’organisme pourra avoir accès aux informations contenues dans le traitement lorsqu’un courrier de rappel à l’ordre ou d’exclusion est envisagé ainsi qu’en cas de dépôt de plainte.
En outre, elle relève également que le personnel juridique de la caisse et l’autorité judiciaire pourront avoir accès aux informations contenues dans le traitement, dans le cadre d’un dépôt de plainte ou d’une main courante.
La Commission estime que les destinataires ont un intérêt légitime à connaître des données contenues dans le traitement.
Sur l’information et les droits des personnes
Les personnes concernées par le traitement « ODIL » sont informées, conformément aux dispositions de l’article 32 de la loi Informatique et Libertés, par des mentions figurant :
à destination des employés : sur le site intranet de l’organisme, sur des documents et des notes de présentation du dispositif ainsi que sur la fiche de signalement ;
à destination des usagers : sur le site internet des organismes ainsi que sur des panneaux d’affichage. 
En outre, la Commission relève que la CNAV s’est engagée à apposer une mention d’information sur les courriers qui sont adressés aux usagers.
La Commission considère que les modalités d’information des personnes sont satisfaisantes.
Les droits d’opposition, d’accès et de rectification prévus par les articles 38, 39 et 40 de la loi Informatique et Libertés, s’exercent auprès du service « Relation CNIL » de chaque organisme de la branche Retraite de la sécurité sociale.
La Commission considère que les modalités d’exercice des droits des personnes sont satisfaisantes.
Par ailleurs, elle prend acte que les représentants du personnel de chaque caisse régionale seront informés de l’existence et des modalités du dispositif.
Sur la durée de conservation
Les données à caractère personnel collectées et enregistrées dans le traitement « ODIL » sont conservées pendant trois ans à compter de leur enregistrement.
La conservation de ces données, au-delà de la durée des mesures temporaires d’exclusion qui peuvent être prises à l’encontre d’un usager vise à permettre un traitement différencié d’une éventuelle réitération des faits, d’une part, et à préparer les éventuelles suites judiciaires d’un dossier, d’autre part.
La Commission estime que ces durées n’excèdent pas celles nécessaires aux finalités pour lesquelles elles sont collectées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
Sur les mesures de sécurité
Chaque responsable de caisses mettant œuvre le traitement est tenu, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, de prendre toutes les précautions utiles au regard de la nature des données et des risques présentés par le traitement pour les personnes concernées afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
A cet effet, le responsable de traitement définit une politique de sécurité adaptée aux risques présentés par le traitement. Cette politique doit décrire les objectifs de sécurité et les mesures de sécurité physique, logique et organisationnelle permettant de les atteindre. Elle doit être mise à jour régulièrement pour tenir compte des évolutions du contexte et doit également prévoir des moyens permettant à tous ceux devant l'appliquer, de la connaître et de la mettre en œuvre.
Les accès aux traitements de données nécessitent une authentification des personnes accédant aux données, au moyen d'un identifiant et d'un mot de passe individuels respectant la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe mise à jour le 22 juin 2017.
Les habilitations permettant d'accéder aux données doivent être précisément définies. Ces habilitations doivent être périodiquement vérifiées et supprimées lorsque les utilisateurs n’ont plus besoin d’accéder aux données.
Les conditions d'administration du système d'information prévoient l'existence de systèmes automatiques de traçabilité (journaux, audits, etc.). Ces systèmes doivent intégrer une journalisation des connexions aux applications et aux postes de travail ainsi qu’une journalisation des opérations de consultation ou de modification des données, incluant un identifiant de la personne à l’origine de l’opération. Ces journaux doivent être conservés pendant six mois, sans préjudice de l’application d’obligations légales spécifiques.
Les opérations de destruction et suppression des données doivent être réalisées de manière sécurisée, soit en détruisant physiquement les supports papier ou informatiques, soit en utilisant des outils d’effacement sécurisés à l’état de l’art.
Les échanges de données réalisés sur des réseaux publics, notamment tous les échanges réalisés par courriel, doivent être systématiquement chiffrés avec des outils à l’état de l’art afin d’en garantir la confidentialité et l’intégrité. 
Afin de garantir leur effectivité, les opérations de suppression de données doivent être réalisées de façon automatique.
Dans ces conditions, la Commission autorise, conformément à la présente délibération, la Caisse nationale de l’assurance vieillesse à mettre en œuvre le traitement susmentionné.
La Présidente 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 2033932)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse Régionale du Crédit Agricole de Franche Comte d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le règlement (UE) n° 596/2014 du Parlement Européen et du Conseil du 16 avril 2014, notamment son article 16 ;
Vu le règlement délégué (UE) n°2016/957 de la Commission du 9 mars 2016, notamment son article 2 ;
Vu l’article 2.3 du règlement d’exécution (UE) n°2016/347 de la Commission du 10 mars 2016 ;
Vu le code monétaire et financier, notamment ses articles L.621-15 et L.621-17-2 à L. 621-7-7 ;
Vu le code monétaire et financier, notamment l’article L.511-34 relatif à la communication d’informations au sein d’un groupe ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25.I.4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d’investissement soumises au contrôle de l’Autorité de contrôle prudentiel et de résolution ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Caisse Régionale du Crédit Agricole de Franche Comte.
Sur la finalité
La Caisse Régionale du Crédit Agricole de Franche Comte a saisi la Commission d’une demande d’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité de détecter des opérations susceptibles de constituer des abus de marché.
Le traitement concerne les opérations de transactions sur les instruments financiers réalisés par ou pour des clients du réseau banque de détail France du groupe Crédit agricole et celles effectuées par la banque du réseau pour son propre compte.
Les opérations détectées par le traitement et susceptibles de constituer des abus de marché, doivent, le cas échéant après la collecte de renseignements complémentaires, donner lieu à l’envoi d’une déclaration de soupçon à l’Autorité des Marchés Financiers (AMF).