AgentPublic/cnil huggingface dataset:
à leur vie professionnelle (CV, situation professionnelle, scolarité, formation) ;
au numéro de sécurité sociale ;
à des appréciations sur les difficultés sociales des personnes ;
à la santé des usagers (pathologies, affections, antécédents familiaux, soins, situations ou comportements à risques).
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données en interne sont les membres de l’institut médico-éducatif « La Durance » dûment habilités dans le cadre de leurs fonctions.Par ailleurs, les personnels dûment habilités des organismes intervenant dans le suivi des usagers de l’IME « La Durance » peuvent être destinataires des seules données les concernant (organismes de sécurité sociale, services sociaux,  établissements sociaux et médico-sociaux, maisons départementales des personnes handicapées, agence régionale de santé, établissements de santé, pharmacies, éducation nationale, fournisseurs de matériels thérapeutiques).La Commission prend acte que l’habilitation à consulter des données relatives à la santé ne peut être attribuée en interne qu’à des personnes soumises au secret professionnel et dans la stricte limite de leur mission. Ces données ne peuvent être transmises, en externe, qu’aux professionnels de santé ou au personnel dûment habilité d’un établissement de santé ou médico-social.Les numéros de sécurité sociale des usagers ne peuvent être transmis qu’au personnel habilité des organismes de sécurité sociale et des autres organismes sociaux, des établissements de santé et médico-sociaux, des maisons départementales des personnes handicapées, des pharmacies, ainsi qu’à celui des fournisseurs de matériels thérapeutiques.Enfin, les données relatives à des appréciations sur les difficultés sociales ne peuvent être transmises qu’au personnel dûment habilité des services sociaux.La
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par la remise d’un livret d’accueil ainsi que par des mentions sur formulaires et un site internet.Les droits d’accès et de rectification s’exercent par courrier électronique, par téléphone, par voie postale ou sur place auprès de l’institut médico-éducatif « La Durance » (Route Saint-Jean, 04160 Château-Arnoux).  Ces modalités d’information et d’exercice des droits des personnes n’appellent pas d’observation de la Commission.
Sur les mesures de sécurité
Sur les autres caractéristiques du traitement
Les données autres que celles relatives à la santé sont conservées en base active pendant deux ans à compter du dernier contact avec la personne concernée. En application de l’article D. 312-37 du code de l’action sociale et des familles, elles sont ensuite archivées pendant trois ans sous forme de bandes numériques stockées dans un coffre-fort.  Les données relatives à la santé sont, conformément à la réglementation en vigueur et notamment à l’article R. 1112-7 du code de la santé publique, conservées pendant vingt ans à compter de la date du dernier séjour dans l'institut ou de la dernière consultation de la personne concernée.La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’institut médico-éducatif « La Durance » de l’association pour adultes et jeunes handicapés des Alpes de Haute-Provence à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1557700)
La Commission nationale de l’informatique et des libertés, 
Saisie par le centre communal d’action sociale de Boussy-Saint-Antoine d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des dossiers des usagers en difficulté sociale,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L.123-5 et L.312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Laurence DUMONT, commissaire et après avoir entendu les observations de  Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le traitement est mis en œuvre par le centre communal d’action sociale de Boussy-Saint-Antoine dans le cadre de ses attributions légales, à savoir : 
la domiciliation des personnes sans domicile fixe ;
l’instruction des demandes d’aide sociale légale ou facultative, dans les conditions fixées par voie réglementaire ;
la transmission des demandes dont l’instruction incombe à une autre autorité ;
la création et la gestion des établissements et services sociaux et médico-sociaux mentionnés à l’article L.312-1 du code de l’action sociale et des familles ;
le cas échéant, l’exercice des compétences confiées dans le domaine de l’action sociale à la commune par le conseil général en application d’une convention. 
Sur la finalité
Le traitement est mis en œuvre pour gérer les dossiers des usagers en difficulté sociale suivis par le centre communal d’action sociale de Boussy-Saint-Antoine.La Commission considère que la finalité poursuivie par le responsable de traitement est déterminée, explicite et légitime.Elle estime qu’il y a lieu de faire application des dispositions de l’article 25-I-6° de la loi 6 janvier 1978 modifiée, qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques. 
Sur les données traitées
Les catégories de données collectées sont relatives :
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale) ;
à leur vie professionnelle (Curriculum vitae, situation professionnelle, scolarité, formation) ;
à des informations d’ordre économique et financier (revenus, situation financière) ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale).
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires
Les destinataires des données en interne sont les membres du centre communal d’action sociale de Boussy-Saint-Antoine dûment habilités dans le cadre de leurs fonctions.Les données relatives à l’identification des personnes, à la vie personnelle, à la vie professionnelle et aux informations d’ordre économique et financier ne sont pas transmises à des destinataires externes.
Les numéros d’inscription des personnes au répertoire national d’identification des personnes physiques peuvent, quant à eux, être communiqués aux caisses d’allocations familiales, mutuelles et organismes de sécurité sociale aux fins d’instruction des dossiers d’ouverture de droits.La Commission considère que ces destinataires ont un intérêt légitime à connaître de cette donnée.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur des formulaires et l’envoi de courriers personnalisés.Les droits d’accès et de rectification s’exercent auprès du centre communal d’action sociale de Boussy-Saint-Antoine.  La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs du traitement.Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de création, de modification et de suppression permettant d’identifier  l’utilisateur à l’origine de toute opération.Le prestataire chargé de la maintenance informatique peut accéder à distance au traitement dans des conditions de nature à garantir la confidentialité des données. Les interventions de maintenance des matériels sont par ailleurs réalisées en présence d’un agent du responsable de traitement et consignées dans une main-courante. Ces mesures de sécurité apparaissent conformes à l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données à caractère personnel sont conservées pendant un an.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le responsable de traitement.
Autorise, conformément à la présente délibération, le centre communal d’action sociale de Boussy-Saint-Antoine à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1629998)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’APADIC Résidence d’automne d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées, améliorer le suivi des demandes, connaître le nombre de personnes en liste d’attente.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le Code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Il s’agit de l’APADIC Résidence d’automne gérant un établissement d'Hébergement pour Personnes Agées Dépendantes (EHPAD) sis 7 rue Charles Péguy – 57570 Cattenom. Il s’agit d’un établissement social et médico-social au sens de l’article L. 312-1 du code de l’action sociale et des familles.
Sur la finalité
La finalité du traitement est de permettre aux EHPAD de faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées, d’améliorer le suivi des demandes et de connaître le nombre de personnes en liste d’attente.La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites. Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification des personnes (nom, prénom, adresse, date et lieu de naissance, personne référente) ;
à leur vie personnelle (situation familiale) ;
à leurs données de santé (pathologies, affection, données relatives aux soins, degré de dépendance).
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels habilités de l’établissement et les EHPAD de la région dans la limite de leurs attributions.Les demandes d’admission sont enregistrées dans une base de données (logiciel Attentum) accessible à tous les EHPAD de la région dans le but de mieux gérer le suivi des demandes et notamment les listes d’attente.Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’affichage dans les locaux de l’établissement et par une note d’information jointe au formulaire d’admission.Les droits d’accès et de rectification s’exercent auprès de l’APADIC Résidence d’automne, 7 rue Charles Péguy – 57570 Cattenom.  Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes pour la Commission. 
Sur les mesures de sécurité
Les demandes d'admissions sont réactualisées chaque année.Si la personne n'est plus en demande d'hébergement, les données sont supprimées.Lorsque que la personne est admise au sein de l’établissement, les données sont conservées pendant toute la durée de prise en charge et pendant une durée supplémentaire de deux ans à compter de la fin de la relation contractuelle.A l’issue de cette durée de conservation, les données sont supprimées sauf dispositions légales ou réglementaires contraires.Ces durées de conservation apparaissent pertinentes au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’APADIC Résidence d’automne à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1610237)
La Commission nationale de l’informatique et des libertés, 
Saisie par la Direction Départementale de la Cohésion Sociale du Nord d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion  des dossiers du centre d’hébergement et de réinsertion sociale ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le Code de l’action sociale et des familles, notamment son article L. 312-5-3 ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article  25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Direction Départementale de la Cohésion Sociale du Nord (DDCS).
Sur la finalité
La finalité du traitement est le suivi des dossiers d’admission en centres d’hébergement et de réinsertion sociale (CHRS). Plus précisément, il s’agit d’un traitement mis en œuvre dans le cadre de l’établissement par la DDCS d’un plan d’accueil, d’hébergement et d’insertion des personnes sans domicile, conformément aux dispositions de l’article L. 312-5-3 du Code de l’action sociale et des familles.La Commission considère la finalité poursuivie par ce traitement comme déterminée, légitime et explicite. Elle estime qu’il y a lieu de faire application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données portant sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernant les usagers des centres sont relatives : 
à leur identité (nom, prénom, adresse, date et lieu de naissance) ;
à leur  vie personnelle (situation familiale,) ;
à leur vie professionnelle (situation professionnelle, scolarité et formation) ;
à leur situation économique et financière (revenus, situation financière) ;
à leurs difficultés sociales ;
à leur santé (pathologie, affection, données relatives aux soins, situations ou comportements à risques). Le consentement exprès des personnes concernées est recueilli ;
Ces données apparaissent pertinentes, adéquates et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnes habilitées  de la Mission Urgence Sociale Hébergement Insertion (DDCS)        (personnes intervenant en matière de CHRS et de cellule relogement).Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions figurant sur le formulaire d’admission du centre.Les droits d’accès et de rectification s’exercent auprès de la Direction Départementale de la Cohésion Sociale du Nord – Mission urgence sociale hébergement insertion, rue Gustave Delory – Cité administrative – 59011 Lille Cedex.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’attribution d’un couple identifiant/mot de passe d’une longueur minimale de 8 caractères et d’une complexité suffisante. Ces mots de passe sont en outre régulièrement renouvelés. Par ailleurs, le chiffrement des données est prévu.Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée maximale de 2 ans après la dernière aide ou le dernier contact avec l’usager.A l’issue de cette durée, les données sont supprimées sauf disposition légales ou réglementaires contraires.Ces durées de conservation apparaissent pertinentes au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, la Direction Départementale de la Cohésion Sociale du Nord à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1572675)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société Universal Aviation France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3, 7-5 et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique AU-04 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu la demande d’autorisation, présentée par la société Universal Aviation France portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société Universal Aviation France fait partie du groupe Universal Weather and Aviation, Inc qui a pour activité la fourniture de différents services et prestations dans le domaine aéronautique. Il intervient notamment dans l’organisation de voyages d’affaires.
Sur la finalité
La finalité du traitement est la mise en œuvre d’un dispositif d’alerte professionnelle permettant aux salariés de signaler des manquements à certains domaines de son code éthique.
Le groupe Universal Weather and Aviation, Inc souhaite ainsi se conformer aux exigences internationales en matière de sécurité dans le secteur de l’aéronautique. En effet, les métiers touchant à l’aéronautique sont devenus des activités sensibles et surveillées depuis les attentats du 11 septembre 2001. Les autorités internationales encouragent très fortement les entreprises à mettre en place des systèmes de protection et de sécurité adéquats (par exemple, le Federal Sentencing Guidelines Manual en date du 1er novembre 2011 émis par la United States Sentencing Guidelines, Agence gouvernementale relevant du Département de la Justice américaine).
Le code de conduite et le système d’alerte professionnelle font partie des instruments d’autorégulation que la société Universal Aviation France souhaite mettre en œuvre.
Le dispositif d’alerte professionnelle constituera un moyen supplémentaire mis à la disposition du personnel et complémentaire aux autres modes d’alerte existants dans le groupe (hiérarchie, service du personnel, instances représentatives du personnel), pour signaler un éventuel manquement à une des règles prévues par le code éthique. 
Le champ du dispositif est strictement limité aux manquements graves qui s’appliquent aux domaines suivants :
Protection des actifs de la société ;
Conflits d’intérêt ;
Divulgation de données confidentielles ;
Pratiques anticoncurrentielles ;
Corruption ;
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. Cette délibération a été modifiée le 14 octobre 2010 et intègre désormais dans le champ d’application de l’article 1er les pratiques anticoncurrentielles.
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par l’autorisation unique n° 4 (AU-04), à l’exception des dispositions de l’article 1er relatives au champ d’application du dispositif. 
En effet, le traitement se fonde sur le respect des dispositions du code éthique du groupe Universal Weather and Aviation, Inc.
Elle rappelle que le dispositif d’alerte doit être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés.