AgentPublic/cnil huggingface dataset:
les organismes instructeurs et payeurs de prestations sociales dans la limite de leurs attributions et pour les informations les concernant. Dans le cadre de l’instruction des demandes de prestations, les organismes peuvent échanger des informations afin de vérifier les droits des demandeurs et contrôler leur situation et vérifier leurs droits aux prestations servies sous condition de ressources ;
les organismes financeurs et gestionnaires, s’agissant exclusivement de données préalablement à l’exception de ceux autorisés par une disposition légale ou réglementaire à obtenir la communication de données à caractère personnel relatives aux personnes concernées par le traitement.
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et le droit d’accès
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi Informatique et Libertés du 6 janvier 1978 modifiée en août 2004, dans un langage compréhensible et selon des modalités appropriées et adaptées à leur état, lors de l’entretien d’évaluation de la situation de minorité avec la personne concernée, et par des mentions figurant sur le site web du Conseil départemental ainsi que par voie d’affichage.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’opposition, de rectification et de suppression prévus aux articles 38, 39 et 40 de la loi susvisée s’exercent auprès du correspondant informatique et libertés (CIL) du Conseil départemental des Alpes-Maritimes.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation
Les données utilisées pour l’évaluation des jeunes qui n’ont pas été reconnus comme MNA seront conservées jusqu’à l’extinction des voies de recours ordinaires et extraordinaires.
A l’expiration de ces périodes, les données seront archivées conformément aux dispositions du code du patrimoine relatives aux obligations d’archivage des informations du secteur public.
Concernant les jeunes ayant été reconnus mineurs non accompagnés, les données nécessaires à leur prise en charge et à leur accompagnement social seront conservées pendant une durée maximale de deux ans par les services de l’aide sociale à l’enfance à compter du dernier contact avec la personne concernée, puis archivées conformément aux dispositions de la circulaire susvisée concernant le traitement des archives produites dans le cadre de l’aide sociale en faveur des mineurs.
La Commission considère que ces durées de conservation sont pertinentes au regard des finalités poursuivies.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs sont spécifiés et documentés de manière détaillée, et prennent en compte les accès différentiés aux informations en fonction du besoin d’en connaître.
La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement.
L’authentification des utilisateurs du traitement est assurée par l’utilisation des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des majuscules, des chiffres et des caractères spéciaux lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La Commission rappelle qu’elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux, et lever les alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, le conseil départemental des Alpes-Maritimes à mettre en œuvre le traitement susmentionné.
Le Vice-Président délégué
 
 
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental de la Charente-Maritime d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité l’évaluation, l’accueil, la gestion et le suivi des mineurs non accompagnés (MNA) confiés à l’aide sociale à l’enfance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale, notamment ses articles L. 221-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25 ;
Vu la loi n° 2016-297 du 14 mars 2016 relative à la protection de l’enfant ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-840 du 24 juin 2016 pris en application de l’article L. 221-2-2 du code de l’action sociale et des familles et relatif à l’accueil et aux conditions d’évaluation de la situation des mineurs privés temporairement ou définitivement de la protection de leur famille ;
Conformément aux dispositions de l’article R. 221-11 du code de l’action sociale et des familles, le président du conseil départemental procède aux investigations nécessaires en vue d’évaluer la situation de la personne se déclarant mineure et privée temporairement ou définitivement de la protection de sa famille, au regard notamment de ses déclarations, son identité, son âge, sa famille d’origine, sa nationalité et son état d’isolement.
Pour mettre en œuvre les missions qui lui sont confiées dans ce cadre, le Conseil départemental de la Charente-Maritime souhaite créer un traitement de données à caractère personnel permettant, d’une part, l’évaluation de la situation de la minorité de la personne concernée par le conseil départemental et, d’autre part, la prise en charge effective par les services de l’aide sociale à l’enfance des mineurs non accompagnés et des jeunes majeurs de moins de vingt-et-un ans, conformément à la circulaire interministérielle du 25 janvier 2016 précitée.
La Commission estime que ces finalités sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
La Commission rappelle que seules les données strictement nécessaires à l’évaluation de la situation de la minorité, d’une part, et à l’accompagnement et au suivi social de la personne concernée, d’autre part, ont vocation à être recueillies.
Dans le cadre de l’évaluation de la situation de la minorité de la personne concernée, le Conseil départemental de la Charente-Maritime se limite à la collecte des informations prévues par l’arrêté du 17 novembre 2016 pris en application du décret n° 2016-840 et relatif aux modalités de l’évaluation des mineurs privés temporairement ou définitivement de la protection de leur famille et, qui fixe une liste non exhaustive des informations qui peuvent être collectées lors de l’évaluation.
Dans le cadre de la prise en charge effective des mineurs non accompagnés et des jeunes majeurs de moins de vingt-et-un ans, de l’accompagnement social et professionnel ainsi que du suivi, par les services de l’aide sociale à l’enfance du conseil départemental, peuvent également être collectées et traitées les informations relatives :
à l’identification des bénéficiaires de l’accompagnement et du suivi social et, le cas échéant, de leurs représentants légaux : nom, prénoms, sexe, adresse, courriel, numéro de téléphone, date et lieu de naissance, photographie, numéro d’identification de rattachement à un organisme (numéro d’adhérent ou allocataire) ;
 
à la vie personnelle : situation et composition familiale du foyer et, le cas échéant, l’identification d’enfants pris en charge dans le cadre de la protection de l’enfance, les centres d’intérêts, la langue parlée, dans la mesure où cette information est indispensable pour mentionner le besoin d’un interprète ;
le personnel au sein de chaque établissement, service ou organisme concourant à la protection de l’enfance et des jeunes majeurs, dans les conditions prévues par l’article L. 226-2-2 du code de l’action sociale et des familles, et soumis au secret professionnel ;
 
l’autorité judiciaire (le procureur de la République, le juge des enfants, le juge des tutelles) ;
les structures d’accueil, et plus particulièrement le foyer départemental de l’enfance, les organismes conventionnés avec les conseils départementaux (les lieux de vie et d’accueil, les maisons d’enfants à caractère social) ;
la cellule d’Etat @MNA ;
les conseils départementaux ;
la préfecture de police ;
 
les professionnels et tout membre du personnel de l’établissement, du service ou organisme externe participant à la prise en charge et à l’accompagnement de la personne et toute autre personne en relation, de par ses activités, avec ces établissements ou organismes externes, dans la limite de leurs attributions respectives et des règles encadrant le partage et l’échange d’informations ;
 
les agents du département participant aux missions de protection de l’enfance et de l’action sociale de terrain à l’exclusion des informations relatives à la nature des difficultés rencontrées et à l’évaluation du travail social qui sont réservées aux seuls travailleurs sociaux en charge du dossier ;
les organismes instructeurs et payeurs de prestations sociales dans la limite de leurs attributions et pour les informations les concernant. Dans le cadre de l’instruction des demandes de prestations, les organismes peuvent échanger des informations afin de vérifier les droits des demandeurs et contrôler leur situation et vérifier leurs droits aux prestations servies sous condition de ressources ;
les organismes financeurs et gestionnaires, s’agissant exclusivement de données préalablement à l’exception de ceux autorisés par une disposition légale ou réglementaire à obtenir la communication de données à caractère personnel relatives aux personnes concernées par le traitement.
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et le droit d’accès
Les personnes sont informées conformément aux dispositions de l’article 32 de la loi Informatique et Libertés du 6 janvier 1978 modifiée en août 2004, dans un langage compréhensible et selon des modalités appropriées et adaptées à leur état, lors de l’entretien d’évaluation de la situation de minorité avec la personne concernée, et par voie d’affichage.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’opposition, de rectification et de suppression prévus aux articles 38, 39 et 40 de la loi susvisée s’exercent auprès du correspondant informatique et libertés (CIL) du Conseil départemental de la Charente-Maritime.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation
Les données utilisées pour l’évaluation des jeunes qui n’ont pas été reconnus comme MNA seront conservées jusqu’à l’extinction des voies de recours ordinaires et extraordinaires.
A l’expiration de ces périodes, les données seront archivées conformément aux dispositions du code du patrimoine relatives aux obligations d’archivage des informations du secteur public.
Concernant les jeunes ayant été reconnus mineurs non accompagnés, les données nécessaires à leur prise en charge et à leur accompagnement social seront conservées pendant une durée maximale de deux ans par les services de l’aide sociale à l’enfance à compter du dernier contact avec la personne concernée, puis archivées conformément aux dispositions de la circulaire susvisée concernant le traitement des archives produites dans le cadre de l’aide sociale en faveur des mineurs.
La Commission considère que ces durées de conservation sont pertinentes au regard des finalités poursuivies.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs sont spécifiés et documentés de manière détaillée, et prennent en compte les accès différentiés aux informations en fonction du besoin d’en connaître.
La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement.
L’authentification des utilisateurs du traitement est assurée par l’utilisation des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des majuscules, des chiffres et des caractères spéciaux lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La Commission rappelle qu’elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux, et lever les alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, le conseil départemental de la Charente-Maritime à mettre en œuvre le traitement susmentionné.
Le Vice-Président délégué
 
 
Marie-France MAZARS
(Saisine n° 17023551)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société OTIMEX, le 21 novembre 2017, d’une demande de délivrance de label concernant sa formation intitulée « Délégué à la protection des données » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-220 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Maurice RONAI, commissaire, président du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
- Introduction à la loi Informatique et Libertés et au RGPD ;
- Les principes fondamentaux relatifs aux traitements de données à caractère personne ;
- La Commission Nationale de l’Informatique et des Libertés ;
- Les formalités préalables à la mise en œuvre des traitements de données à caractère personnel et le registre des traitements ;
- L’encadrement des transferts de données à caractère personnel hors de l’Union européenne ;
- Le rôle du Délégué à la protection des données ;
- Les dispositions pénales associées au non-respect de la loi informatique et libertés et du RGPD.
La demande de label présentée par la société OPTIMEX inclut les modules complémentaires suivants : 
présentation de la CNIL et de ses missions ;
présentation des formalités préalables à la mise en œuvre des traitements ;
présentation de l’encadrement des transferts de données hors de l’Union européenne ;
présentation du rôle du délégué à la protection des données ;
présentation du pouvoir de contrôle a posteriori de la CNIL ;
présentation du pouvoir de sanction de la CNIL ;
présentation des dispositions pénales associées au non-respect du Règlement européen Général sur la Protection des Données.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « formation RGPD » pour la formation intitulée « Délégué à la protection des données » de la société OPTIMEX. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Saisine n° 17022523)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société ALCOAM BY DESIGN, le 8 novembre 2017, d’une demande de délivrance de label concernant sa formation intitulée « Maîtriser les bases d’un traitement de données à caractère personnel de la recherche clinique conforme au RGPD » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-220 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, membre du Comité de labellisation et après avoir entendu les observations de Mme. Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
- Notion de base et enjeux de la protection des données pour la recherche biomédicale ;
- Fondamentaux ;
- Principe de protection des données personnelles et droits des sujets participant aux recherches médicales ;
- Obligations des acteurs du traitement des données.
La demande de label présentée par la société ALCOAM BY DESIGN inclut les modules complémentaires suivants : 
présentation de l’encadrement des transferts de données hors de l’Union européenne ;
présentation de l’encadrement des traitements dans le domaine de la santé. 
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide 
De la délivrance du label CNIL « formation RGPD » pour la formation intitulée «Maîtriser les bases d’un traitement de données à caractère personnel de la recherche clinique conforme au RGPD » de la société ALCOAM BY DESIGN.
(Saisine n° 17023484)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société OPTIMEX, le 21 novembre 2017, d’une demande de délivrance de label concernant sa formation intitulée « Règlement Général sur la Protection des Données » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2017-220 du 13 juillet 2017 portant modification du référentiel pour la délivrance de labels en matière de formation relative à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;