AgentPublic/cnil huggingface dataset:
Les finalités des traitements consistent à permettre au Pôle emploi :- d'accomplir ses missions prévues à l'article L.5312-1 du code du travail ;- de satisfaire aux obligations posées à l'article L.262-42 du CASF ;- de permettre la mise en œuvre des dispositions particulières prévues aux articles L.5132-5, L.5134-23-1 et L.5134-25-1 du code du travail.
Le RSA a vocation à remplacer le RMI et l'API. Toutefois, dès lors que les personnes pour lesquelles l'ancien régime est plus favorable continuent à bénéficier de ces allocations, le souhait de Pôle emploi consistant à les identifier pour mieux les accompagner dans leur recherche d'un emploi apparaît légitime.
Par conséquent, la Commission considère que les finalités du traitement en cause sont déterminées, explicites et légitimes.
Sur les données traitées
Les données à caractère personnel qui sont transmises au Pôle emploi proviennent des traitements de la CCMSA et de la CNAF.
Ces données sont relatives aux bénéficiaires des allocations en cause et, le cas échéant, à leurs conjoints, concubins ou partenaires liés par un pacte civil de solidarité.
Il convient de rappeler que l'ANPE a été autorisée à utiliser le NIR des demandeurs d'emploi par un décret du 17 décembre 1987, lequel a été modifié en 2008 pour y intégrer le Pôle emploi. 
En outre, la Commission a admis l'utilisation du NIR pour la gestion du RMI et, dans son avis n°2009-327 relatif au remplacement du RMI par le RSA, elle n'a pas remis en cause cette utilisation.
Enfin, les articles R.115-1 et R.115-2 du code de la sécurité sociale et le décret n°85-420 du 3 avril 1985 (modifié le 29 novembre 1997) autorisent notamment la CNAF ainsi que les organismes de mutualité sociale agricole à utiliser le NIR dans l'exercice de leurs missions de sécurité sociale.
La Commission considère dès lors que le recueil et le traitement de ces données sont légitimes, pertinents et non excessifs au regard des finalités poursuivies.
Sur les destinataires
En application du projet de décret en Conseil d'État, les agents habilités de Pôle emploi désignés par leur autorité responsable pourront accéder :
- au numéro de caisse de rattachement, au numéro allocataire, à l'allocation perçue ;- à la date d'ouverture des droits au RSA, la date de la demande, la nature de l'allocation perçue (RSA socle ou RSA activité) et la date de sortie de l'allocation.Les données d'identification collectées et le NIR sont uniquement utilisés pour le rapprochement technique des fichiers des CAF et des CMSA avec ceux du Pôle emploi. Ces données ne sont pas intégrées dans les systèmes d'information réciproques.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données visées.
Sur les durées de conservation
Aux termes de l'article R.5312-34 du code du travail créé par le projet de décret en Conseil d'État, les données ne sont pas conservées, dans les traitements dénommés  Transmissions à Pôle emploi de données relatives aux bénéficiaires du RSA, du revenu minimum d'insertion, de l'allocation de parent isolé et de l'allocation aux adultes handicapés , au-delà du temps nécessaire à leur transmission à Pôle emploi et, en tout état de cause, au maximum pendant trois mois.
Le Pôle emploi, quant à lui, ne peut conserver les données plus d'un mois à compter de leur transmission.
La Commission considère que ces durées n'excèdent pas celles qui sont nécessaires à l'accomplissement des finalités pour lesquelles les données sont collectées.
Sur l'information des personnes et les droits d'accès et de rectification
Des mesures ont été prévues par la CNAF et la CCMSA pour informer les allocataires concernés quant à la transmission de données les concernant au Pôle emploi.
Une mention informative sera ainsi insérée sur la notification d'ouverture de droit à une allocation servie par une CAF. 
La Commission estime qu'il conviendrait de compléter cette mention pour y indiquer l'ensemble des dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée et, notamment, de préciser les finalités de la transmission, y compris les éventuels contrôles pouvant être effectués, ainsi que l'existence d'un droit d'accès et de rectification au bénéfice des allocataires.
La CCMSA, quant à elle, a choisi d'informer les personnes concernées notamment par un affichage dans les locaux de chaque CMSA et une publication sur son site internet.
Compte tenu de l'ampleur des traitements en question, la Commission considère qu'une mention informative reprenant l'intégralité des dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée devrait également être insérée sur les formulaires de collecte des organismes de mutualité sociale agricole.
Le projet de décret en Conseil d'État prévoit, par ailleurs, que les droits d'accès et de rectification s'exercent auprès de l'organisme chargé du service de l'allocation dont bénéficie l'intéressé, c'est-à-dire auprès de la CAF ou de la caisse de MSA territorialement compétente.
Sur les interconnexions
Dans un premier temps, une centralisation des données sera assurée, d'une part, par le centre serveur national de la CNAF pour les données provenant de l'ensemble des CAF et, d'autre part, par le centre informatique national de la CCMSA pour les données issues des fichiers de toutes les CMSA.
Dans un second temps, les données centralisées seront transmises au Pôle emploi par le centre informatique national de la CCMSA et le centre serveur national de la CNAF.
La Commission considère que ces interconnexions sont légitimes.
Sur les mesures de sécurité
La CNAF et la CCMSA transmettent au Pôle emploi des fichiers journaliers et mensuels décrivant le statut des bénéficiaires du RSA, du RMI, de l'API et de l'AAH.
Les échanges initiés par la CNAF sont réalisés par une ligne spécialisée et sont chiffrés durant leur transport. 
Les échanges initiés par la CCMSA sont réalisés par VPN IPSEC et sont également chiffrés durant leur transport. 
Tous les organismes impliqués dans ces échanges mettent en œuvre des mécanismes de filtrage des connexions internet (Firewall). 
Toutefois, la Commission relève que les sauvegardes confiées à un prestataire externe par la CCMSA et la CNAF ne sont pas chiffrées. Or, les données traitées par ces organismes sont, pour certaines, sensibles et peuvent faire référence aux difficultés sociales rencontrées par les personnes concernées.
La Commission recommande ainsi que la CCMSA et la CNAF renforcent la sécurité de leur dispositif respectif en chiffrant les sauvegardes confiées à un prestataire externe.
Le Président
Alex TÜRK
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment son article 27 ; 
Vu la loi n° 85-10 du 3 janvier 1985 portant diverses dispositions d'ordre social et notamment son article 78 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par le décret n° 2007-401 du 25 mars 2007 ;
Vu le décret n° 85-1343 du 16 décembre 1985 instituant un système de transfert de données sociales ;
Sur le rapport de M. Philippe GOSSELIN, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Emet l'avis suivant :
Le Ministère du travail, le Ministère du budget et le Ministère des solidarités ont saisi la Commission d'un projet de décret modifiant le décret n°85-1343 du 16 décembre 1985 ainsi que d'un projet d'arrêté.
Le décret n°85-1343 du 16 décembre 1985 a institué un système de transfert de données sociales (TDS) permettant l'intégration de diverses déclarations administratives dans une seule déclaration annuelle dénommée déclaration annuelle de données sociales (DADS).
Le projet de décret soumis à l'appréciation de la Commission a pour objet de permettre aux trois nouveaux organismes suivants d'utiliser le système TDS géré par la Caisse nationale d'assurance vieillesse des travailleurs salariés (CNAVTS) :- la Caisse d'assurance vieillesse, invalidité et maladie des cultes (CAVIMAC), organisme de sécurité sociale prévu par l'article L. 382-17 du Code de la sécurité sociale, chargé de recouvrer les cotisations et de verser les prestations d'assurance maladie, maternité, vieillesse et invalidité aux assurés relevant de la caisse des cultes ;- l'Association pour la prévoyance collective (APC), organisme gestionnaire du régime additionnel de retraite des personnels enseignants et de documentation mentionnés aux articles L. 914-1 du Code de l'éducation et L. 813-8 du Code rural ;- l'Agence de services et de paiements (ASP), organisme gestionnaire de l'aide financière accordée dans le cadre du contrat unique d'insertion (CUI).
En conséquence, les employeurs des salariés relevant de ces organismes devront désormais accomplir les formalités de la DADS. La CAVIMAC, l'APC et l'ASP seront destinataires des informations contenues dans cette déclaration.
En outre, le projet de décret intègre deux nouvelles déclarations, destinées respectivement à l'APC et à la CAVIMAC :- la déclaration annuelle des rémunérations et des cotisations prévue par l'article R. 914-99 du Code de l'éducation réalisée par la DGFiP ;- la déclaration annuelle prévue par l'article R. 382-94 du Code de la sécurité sociale devant être accomplie par les associations cultuelles. 
Par ailleurs, le projet d'arrêté soumis à la Commission actualise l'arrêté du 28 avril 2011 et prévoit que : - la CAVIMAC sera destinataire des informations suivantes :• éléments d'identification du salarié (nom de famille, nom d'usage, date, lieu et pays de naissance, adresse, NIR) ;• éléments d'identification de l'employeur (N°SIRET, adresse) ;• éléments d'identification de l'émetteur de la déclaration (N°SIRET, contact) ; • éléments relatifs aux caractéristiques de l'emploi tenu par le salarié (période d'activité déclarée, caractéristiques de l'emploi, code spécifique d'entrée et sortie) ;• éléments d'assiette (bases brutes de sécurité sociale, base de la CSG).
- l'APC sera destinataire des informations suivantes :• éléments d'identification du salarié (nom de famille, nom d'usage, date, lieu et pays de naissance, adresse, pays de nationalité, NIR) ;• éléments d'identification de l'employeur (N°SIRET, adresse, code NAF de l'établissement) ;• éléments d'identification de l'émetteur de la déclaration (N°SIRET, contact) ; • éléments relatifs aux caractéristiques de l'emploi tenu par le salarié (période d'activité déclarée) ;• éléments relatives à la durée du travail (temps de travail payé, heures payées) ;• éléments d'assiette et de cotisations (bases brutes de sécurité sociale, base de la CSG, assiette et cotisations RAEP, taux d'accident du travail).
- l'ASP sera destinataire des informations suivantes :• éléments d'identification du salarié (nom de famille, nom d'usage, civilité, NIR) ;• éléments d'identification de l'employeur (N°SIRET, raison sociale, adresse) ;• identité de l'émetteur ; • période et motif d'activité ;• intitulé du contrat de travail.
La communication de ces données à la CAVIMAC, à l'APC et à l'ASP n'appelle pas, de la part de la Commission, de remarque particulière.
Par ailleurs, le projet d'arrêté modifie, dans son annexe, la liste des données que les destinataires des DADS sont habilités à recevoir. Les données supplémentaires seront les suivantes :- le code salarié d'une entreprise étrangère sans établissement en France : cette donnée est transmise à tous les organismes assurant la protection sociale des intéressés, à la DGFiP et à l'INSEE ;- les données relatives à la fonction publique (détail de la situation statutaire : mise à disposition, absence d'activité ou autre situation ; du code de la modalité d'exercice du travail : temps plein, temps partiel ; des indemnités et des primes spécifiques versées aux agents sous statut de droit public) : ces données sont transmises aux URSSAF, aux organismes de retraite concernés et à la DARES ;- les données relatives à des régimes spéciaux (assiette et indication des exonérations ou déductions appliquées) : ces données sont transmises au CNRACL et au FSPOEIE ;- l'annualisation de la réduction Fillon et le montant des exonérations :o montant du SMIC et de la rémunération retenus pour le calcul de la réduction et montant de la réduction appliquée : ces données sont transmises aux organismes de recouvrement des cotisations sociales et à l'INSEE ;o montant des exonérations de cotisations appliquées au salarié déclaré : cette donnée est transmise aux URSSAF ;- les données relatives à la durée du travail :o total des heures payées sans les heures supplémentaires et complémentaires, code modalité
d'exercice du travail, durée du travail : ces données sont transmises aux organismes de recouvrement et aux organismes de retraite ;o complément spectacle (nombre de jours travaillés et d'heures de répétition) : ces données sont transmises aux CARSAT.
La communication de ces nouvelles données n'appelle pas de commentaire de la part de la Commission. 
S'agissant de la durée de conservation des données, la Commission prend acte que les informations transmises à la CNAVTS dans le cadre de la DADS ne pourront être conservées au delà de trois mois à compter de leur réception.
Le droit d'accès prévu à l'article 39 de la loi du 6 janvier 1978 modifiée s'exercera auprès de chacun des services destinataires d'informations contenues dans la DADS.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Vu la convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 25-I-3° et 25-II ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la délibération n° 2008-491 du 11 décembre 2008 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion précontentieuse des infractions constatées par les commerçants sur les lieux de vente ; 
Après avoir entendu M. PEYRAT, commissaire, en son rapport et Mme Elisabeth ROLIN commissaire du gouvernement en ses observations.
Formule les observations suivantes :
Conformément à la décision du Conseil constitutionnel du 29 juillet 2004, seules les victimes d'infractions susceptibles de faire valoir leurs droits devant une juridiction peuvent procéder à la collecte des données relatives à ces infractions. 
Il en résulte que les commerçants peuvent conserver les informations collectées à l'occasion d'infractions pénales lorsque des personnes sont prises sur le fait afin d'envisager l'opportunité et le suivi d'un dépôt de plainte.
Saisie des traitements considérés, la Commission est appelée à faire application de l'article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation  les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en œuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées .
Elle peut, en outre, en application de l'article 25-II de la loi du 6 janvier 1978 susvisée, adopter une décision unique d'autorisation pour des traitements répondant aux mêmes finalités, portant sur des catégories de données et des catégories de destinataires identiques. Dès lors, le responsable de traitement qui met en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion du contentieux ou du pré-contentieux tenu, dans le respect des dispositions de cette décision unique, d'adresser à la Commission un engagement de conformité de celui-ci aux caractéristiques de la présente autorisation.
Décide que les responsables de traitements qui adressent à la Commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ces traitements.
Article 1er : Finalités et caractéristiques techniques du traitement 
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision unique les traitements mis en œuvre par des commerçants et correspondant aux finalités suivantes :
- gestion du pré-contentieux : conservation des données relatives à la commission d'infractions dans l'enceinte d'un magasin, lorsque ces infractions concernent des atteintes aux personnes ou aux biens, en vue de préserver le droit de recours juridictionnel du commerçant;
- gestion du contentieux : dépôt et traitement des plaintes et suivi de la procédure judiciaire dans le cadre d'un recours juridictionnel à l'encontre de personnes prises sur le fait pour infraction sur les lieux de vente. 
Article 2 : Données à caractère personnel traitées
a) concernant les personnes impliquées : 
1. les données d'identification : nom, nom d'usage et prénom(s), date et lieu de naissance ;
2. les coordonnées postales ;
3. le cas échéant, les données relatives à la pièce d'identité : le numéro et la nature de la pièce d'identité ; la date et l'organisme de délivrance de la pièce d'identité. L'obtention de ces données par le responsable de traitement ne peut résulter que d'une communication volontaire de la pièce d'identité de la personne concernée.
4. pour les mineurs et les majeurs protégés : les données d'identification, les coordonnées postales et le titre des représentants légaux.
5. l'existence d'une plainte précédente.
b) concernant les circonstances de l'infraction :
1. les faits constatés ;
2. la présence de témoins, leur identification et leurs témoignages ;
c) concernant l'agent de sécurité
1. les données d'identification : le nom, le nom d'usage, le(s) prénom(s), 2. le matricule fourni par l'employeur,3. la signature de l'agent.
d) Suite données à la constatation de l'infraction1. saisine ou absence de saisine2. classement sans suite3. engagement de poursuite4. condamnation
Les agents de sécurité ne sauraient se substituer aux enquêteurs. Ainsi, ils ne peuvent procéder à aucun contrôle d'identité des personnes, ni procéder à de véritables auditions ou interrogatoires, ni évidemment exercer aucune mesure de contrainte sur les individus.
Les mentions inscrites dans les zones de commentaire libres ne doivent porter que sur des actes et des faits objectifs et ne peuvent, en aucun cas, faire apparaître, directement ou indirectement, des données relatives aux origines raciales, aux opinions politiques, philosophiques ou religieuses, aux appartenances syndicales ou aux mœurs de la personne concernée par ces actes ou ces faits.
Article 3 : Destinataires des informations
Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, à savoir la gestion du pré-contentieux et du contentieux peuvent avoir accès aux données, les agents habilités de : 
- la direction de l'établissement (au niveau central et décentralisé) ;
- du service sécurité de l'établissement concerné par l'infraction;
- en cas de dépôt de plainte, le service chargé de la gestion du contentieux au sein du groupe (sécurité, prévention des risques, juridique...) ; 
Par ailleurs, peuvent être destinataires des données : 
- les auxiliaires de justice ; 
- les autorités judiciaires.
Article 4 : Durée de conservation
a) S'agissant des informations relatives aux prises sur le fait qui n'ont pas débouché sur une saisine du Parquet ou d'un commissariat
La durée de conservation correspond à la durée de prescription de l'infraction, à savoir trois ans en matière délictuelle.
S'agissant des informations relatives à des mineurs âgés de 13 à 16 ans, la durée de conservation est d'un an au maximum. 
b) S'agissant des informations qui ont été transmises aux autorités judiciaires
- Dans le cas d'un classement sans suite : conservation pendant le délai de l'action publique, à savoir 3 ans en matière délictuelle.
- Dans le cas de l'engagement de poursuites ou de mise en œuvre d'une procédure d'alternative aux poursuites : conservation jusqu'à la fin de la procédure judiciaire.
Article 5 : Mesures de sécurité
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance. 
En particulier, les accès aux traitements automatisés de données s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification à l'exclusion des moyens biométriques. Ces accès font l'objet d'une journalisation. 
Article 6 : Information des personnes
Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, à l'information des personnes par envoi ou remise d'un document, mais aussi par affichage ou par tout autre moyen, indiquant l'identité du responsable de traitement, la finalité poursuivie par le traitement, les destinataires des données et des droits des personnes.
Article 7 : Exercice des droits d'accès et de rectification
Les droits d'accès et de rectification définis au chapitre V de la loi du 6 janvier 1978 modifiée s'exercent auprès du ou des services que le responsable de traitement aura désignés.
Article 8 
Tout traitement automatisé de données à caractère personnel ayant pour objet la gestion du contentieux et/ou du pré-contentieux qui n'est pas conforme aux dispositions qui précèdent doit faire l'objet d'une demande d'autorisation auprès de la Commission dans les formes prescrites par les articles 25-3° et 30 de la loi du 6 janvier 1978 modifiée.
Article 9 
La délibération n°2008-491 du 11 décembre 2008 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion précontentieuse des infractions constatées par les commerçants sur les lieux de vente est abrogée.
Article 10
La présente délibération sera publiée au Journal officiel de la République française.
Le président 
Alex TÜRK