AgentPublic/cnil huggingface dataset:
- les données d'identification et, le cas échéant, celles relatives à leurs conjoints et enfants : noms, prénoms, adresses, date et lieu de naissance, photographie, extraits d'acte d'état civil ;- les données relatives à leur vie personnelle : situation familiale, adresse de résidence et fiscale, type d'hébergement, habitudes de vie et alimentaires, relations avec les tiers, compte rendu de visite à domicile, lieu de vie, correspondances, régime matrimonial ;- les données relatives à leur vie professionnelle : curriculum vitae, situation professionnelle, scolarité, formation, distinctions, bulletins de salaires et de retraite, contrat de travail ;- les données liées aux démarches effectuées pour l'ouverture des droits pour le compte des personnes protégées et, le cas échéant, les données de connexion associées aux services en question ;- les données relatives à des informations d'ordre économique et financier : coordonnées bancaires du bénéficiaire, revenus, situation financière, dépenses, recettes, contrôle du budget, taux d'endettement, patrimoine immobilier, agence bancaire, épargne, biens mobiliers.
Au regard des missions confiées par le juge des tutelles, les mandataires judiciaires à la protection des majeurs peuvent être amenés à collecter d'autres données à caractère personnel dès lors qu'elles s'avèrent strictement nécessaires à l'exercice du mandat confié.La commission rappelle néanmoins que, en application de l'article 8 de la loi du 6 janvier 1978 modifiée, la collecte de données  sensibles  est par principe interdite. Ainsi, ce n'est que dans la mesure où la finalité du traitement mis en œuvre l'exige, au regard du mandat confié par l'autorité judiciaire, qu'une telle collecte peut être réalisée.En outre, lorsque l'état de la personne concernée le permet, le responsable de traitement doit s'assurer du consentement exprès de la personne s'agissant de la collecte de ces catégories de données. Dès lors que cette dernière refuse ou n'est pas en mesure de donner son consentement exprès, la collecte de ces données ne pourra intervenir que lorsque le mandat confié par le juge l'autorise ou que cette collecte s'inscrit dans les conditions prévues aux articles 8-II-2° et 8-II-6° de la loi du 6 janvier 1978 modifiée.En particulier, peuvent être collectées, dans les conditions précitées, des données relatives aux opinions politiques, philosophiques ou religieuses, à l'appartenance syndicale ou encore à la vie sexuelle, dans la mesure où elles sont nécessaires à la prise en charge de la personne faisant l'objet d'une mesure de protection judiciaire.Des données relatives à
la santé peuvent en outre être collectées, dans les mêmes conditions, aux fins de permettre une participation aux décisions médicales lorsque la mesure prononcée par le juge l'implique, ainsi que dans le but d'assurer un suivi en matière de santé et d'hygiène de la personne protégée.Des données relatives aux infractions, condamnations ou mesures de sûreté, au sens de l'article 9 de la loi du 6 janvier 1978 modifiée, peuvent être traitées dans le strict respect des attributions légales confiées aux mandataires judiciaires à la protection des majeurs et dans les limites prévues par les dispositions légales en vigueur.Le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (numéro de sécurité sociale) peut également être traité aux seules fins d'assurer la représentation ou l'assistance juridique inhérente à la mesure de protection juridique exercée dans le cadre des échanges avec les professionnels de santé, les organismes de sécurité sociale, de prévoyance ou de retraite ainsi que les financeurs de prestations sociales ou médico-sociales.Des données relatives aux difficultés sociales des personnes concernées par la mesure judiciaire peuvent enfin être enregistrées dans les traitements concernés, aux seules fins de faciliter la prise en charge et l'accompagnement de la personne protégée.
Article 3 
Sur la durée de conservation des données :La commission rappelle que, conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée, des données à caractère personnel ne peuvent être conservées que pendant la durée strictement nécessaire à l'accomplissement de la finalité pour laquelle elles ont été collectées.En tout état de cause, les données enregistrées dans les traitements concernés, y compris lorsqu'elles prennent la forme de pièces justificatives, ne peuvent être conservées au-delà de la prescription de l'action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers, à savoir, en application de l' article 515 du code civil, cinq ans à compter de la fin de la mesure de protection, sauf interruption ou suspension de la prescription.A l'expiration de cette période, les données sont détruites de manière sécurisée ou archivées, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Article 4
Sur les destinataires des données :Les données collectées ne peuvent être traitées ultérieurement de manière incompatible avec les finalités des traitements couverts par la présente autorisation, en application de l'article 6-2° de la loi du 6 janvier 1978 modifiée.Le responsable de traitement doit donc veiller à ce que les destinataires habilités accèdent aux seules données adéquates, pertinentes et non excessives au regard des finalités nécessitant la communication de ces données.A cet égard, seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder directement aux traitements régis par la présente autorisation.Seuls ces utilisateurs sont habilités à transmettre tout ou partie des données contenues dans les traitements mis en œuvre. Le responsable de traitement doit ainsi, avant chaque transmission des données, opérer un tri parmi ces dernières. Il lui revient en effet de veiller à ce que seuls les destinataires dûment habilités se voient transmettre des données et que seules les données strictement nécessaires à l'exercice de leur mission, au regard de la nature de la mesure de protection judiciaire, leur soient transmises.Peuvent ainsi, dans la limite de leurs attributions respectives, être destinataires des données traitées :
- la direction départementale de la cohésion sociale (DDCS) territorialement compétente ;- les organismes de sécurité sociale et de financement des mandataires judiciaires à la protection des majeurs ;- les organismes bancaires ;- de manière ponctuelle, les organismes externes en relation avec les personnes représentées ou assistées s'agissant des données strictement nécessaires aux fins de permettre la poursuite des relations contractuelles, le versement des prestations dues, ainsi que l'accompagnement médico-social des personnes suivies ;- le juge des tutelles compétent.
Article 5
Sur l'information et les droits des personnes :Une information claire et complète des personnes concernées par une mesure de sauvegarde de justice, de curatelle, de tutelle ou d'accompagnement judiciaire doit être réalisée, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée.L'information délivrée peut intervenir par le biais de mentions légales sur les notices d'information remises par le responsable de traitement aux personnes concernées lors de l'ouverture de ladite mesure ou par voie d'affichage. Elle doit être délivrée selon des modalités adaptées à l'état de la personne faisant l'objet d'une mesure de protection et peut, à cet égard, notamment s'accompagner de pictogrammes spécifiques.Par ailleurs, la commission estime que les personnes concernées doivent être informées de la possibilité de refuser la transmission de certaines données et informations à des tiers dès lors qu'elles n'apparaissent pas strictement nécessaires à l'exercice du mandat confié.Sauf décision contraire du juge, les droits d'opposition pour motifs légitimes, d'accès et de rectification des données, prévus par les articles 38 et 40 de la loi du 6 janvier 1978 modifiée, s'exercent directement auprès du responsable de traitement.
Article 6Sur la sécurité des données et la traçabilité des actions :Le responsable d'un traitement de données à caractère personnel est tenu, en application de l'article 34 de la loi du 6 janvier 1978 modifiée, de prendre toutes les garanties utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.Des mesures de protection physique et logique doivent être prises pour préserver la sécurité des informations enregistrées dans les traitements mis en œuvre et empêcher toute utilisation détournée ou frauduleuse de celles-ci, notamment par des tiers non autorisés.Les accès aux traitements de données mis en œuvre nécessitent une authentification des personnes accédant aux données, au moyen d'un identifiant et d'un mot de passe individuels, suffisamment robustes et régulièrement renouvelés, ou par tout autre moyen d'authentification de même fiabilité, conformément aux recommandations de la commission en la matière.Des profils d'habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs. Le responsable de traitement doit s'assurer qu'un mécanisme de gestion des habilitations est mis en œuvre et régulièrement mis à jour pour garantir que les personnes habilitées n'ont accès qu'aux seules données effectivement nécessaires à la réalisation de leurs missions. Il doit définir et formaliser une procédure permettant
de garantir la bonne mise à jour des habilitations.Les échanges de données à caractère personnel qui s'effectuent via un canal de communication non sécurisé, par exemple Internet, doivent s'accompagner de mesures adéquates permettant de garantir la confidentialité des données échangées, telles qu'un chiffrement des données. En tout état de cause, ces échanges ne peuvent intervenir que dans le cadre des finalités prévues à l'article 1er de la présente autorisation.Une journalisation des connexions et l'exploitation de ces journaux sont mises en place. Sauf à justifier de particularités ou de dispositions légales expresses, la durée de conservation des traces doit être de six mois.Les interventions de maintenance doivent être enregistrées dans une main courante et les opérations de télémaintenance doivent reposer sur l'utilisation d'un moyen d'authentification de fiabilité suffisante.Le responsable de traitement s'engage à respecter ces mesures de sécurité afin de répondre à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Article 7
Sur les modalités de publication :La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981  pour la protection des personnes à l'égard du traitement automatisé des  données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code de l'action sociale et de familles, notamment ses articles L. 214-1, L. 227-4 et R. 227-1 ; Vu le  code de l'éducation,  notamment ses articles L. 131-6, L. 212-1 à L. 212-9, L. 212-15, L.  213-2, L. 213-11, L. 213-12, L. 216-11, R. 131-3, R. 213-3 à R. 213-16  et D. 351-5 ; Vu le  code de la santé publique, notamment ses articles L. 2112-2, L. 2324-1, L. 3111-2 et R. 2324-17 ; Vu le  code des transports, notamment son article L. 3111-7 ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée, notamment son article 24-I ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu l'arrêté du 20 février 2003 relatif au suivi sanitaire des mineurs mentionnés à l' article L. 227-4 du code de l'action sociale et des familles ; Vu la circulaire n° 99-136 du 21 septembre 1999 modifiée relative à  l'organisation des sorties scolaires dans les écoles maternelles et  élémentaires ; Vu la circulaire n° 2003-135 du 8 septembre 2003 relative à  l'accueil en
collectivité des enfants et adolescents atteints de  troubles de la santé évoluant sur une longue période ; Vu la circulaire n° 2005-001 du 5 janvier 2005 relative aux séjours  scolaires courts et classes de découverte dans le premier degré ;
Après avoir entendu M. Nicolas COLIN, commissaire, en son rapport,  et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses  observations,
Formule les observations suivantes : Les collectivités territoriales mettent en œuvre de nombreux  traitements automatisés de données à caractère personnel dans le cadre  de la gestion des affaires scolaires, périscolaires, extrascolaires et  de la petite enfance. La Commission nationale de l'informatique et des  libertés a ainsi encadré, par délibérations n° 85-02 du 15 janvier 1985  modifiée et n° 91-038 du 28 mai 1991, les traitements que ces  collectivités mettent en œuvre. L'évolution des cadres législatifs et réglementaires applicables à  ces secteurs ainsi que les nouveaux besoins des responsables des  traitements mis en œuvre dans ce cadre ont rendu obsolètes cet  encadrement. La commission a dès lors considéré qu'une fusion et une  mise à jour était nécessaire, afin d'offrir une mesure de simplification  des formalités préalables plus adaptée à la pratique. En application de l'article 24-I de la loi du 6 janvier 1978  modifiée, la commission est habilitée à établir des normes destinées à  simplifier l'obligation de déclaration des traitements les plus courants  dont la mise en œuvre, dans des conditions régulières, n'est pas  susceptible de porter atteinte à la vie privée ou aux libertés. La commission estime que les traitements mis en œuvre par les  collectivités territoriales et les personnes morales gérant un service  public en matière d'affaires scolaires, périscolaires, extrascolaires et  de petite enfance, sont de ceux qui peuvent, sous certaines conditions,
relever de cette définition. Décide :
Article 1 
  Finalités des traitements : Seuls peuvent bénéficier de la procédure de la déclaration  simplifiée de conformité à la présente norme les traitements mis en  œuvre par les collectivités territoriales et les personnes morales de  droit public et de droit privé gérant un service public pour tout ou  partie des finalités suivantes : la préinscription, l'inscription, le  suivi et la facturation des services en matière d'affaires scolaires,  périscolaires, extrascolaires et de petite enfance. Les services concernés sont les suivants :
- la scolarisation en école maternelle et élémentaire ; - le recensement des enfants soumis à l'obligation scolaire, conformément à l' article R. 131-3 du code de l'éducation ; - la restauration scolaire et extrascolaire ; - les transports scolaires, au sens de l' article L. 3111-7 du code des transports, et les transports de substitution pour les élèves présentant un handicap, au sens de l' article R. 213-13 du code de l'éducation ; - les accueils et activités périscolaires et extrascolaires ; - les accueils collectifs de mineurs, au sens des articles  L. 227-4 et  R. 227-1 du code de l'action sociale et des familles ; - la participation à l'organisation matérielle et financière des  sorties scolaires, séjours scolaires courts et classes de découvertes  dans le premier degré, au sens des circulaires n° 99-136 du 21 septembre  1999 modifiée et n° 2005-001 du 5 janvier 2005 susvisées ; - l'accueil de la petite enfance au sein des établissements et  services d'accueil des enfants de moins de six ans, au sens des articles   L. 2324-1 et  R. 2324-17 du code de la santé publique.
Les traitements peuvent également poursuivre une finalité  statistique, dans les conditions prévues par l'article 6-2° de la loi du  6 janvier 1978 modifiée.
 
Article 2
Données traitées : Conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée,  des données à caractère personnel ne peuvent être collectées que si  elles sont adéquates, pertinentes et non excessives au regard de la  finalité précisément poursuivie par le responsable de traitement. Ce  dernier doit ainsi être en mesure de justifier du caractère nécessaire  des données à caractère personnel effectivement collectées. Lors de la collecte, le responsable de traitement doit clairement  distinguer les données obligatoirement renseignées des données  facultatives. Pour atteindre les finalités mentionnées à l'article 2 de la  présente norme, un responsable de traitement peut collecter et traiter,  les données suivantes, y compris sous la forme de pièces justificatives : 1. Des données relatives aux représentants légaux de l'enfant portant sur : a) Leur identité et leurs coordonnées :
- nom ; - nom d'usage ; - prénom(s) ; - date et lieu de naissance ; - profession ou catégorie socioprofessionnelle ; - adresse, numéros de téléphone, adresse électronique ; - photographie ; - identifiant au sein du système informatique, à l'exclusion du  numéro d'inscription au répertoire national d'identification des  personnes physiques (RNIPP), également dit NIR ou numéro de sécurité  sociale ;
b) Leurs droits sur le mineur :
- titre justifiant de l'autorité parentale ; - mention de la perte de l'autorité parentale, à l'exclusion de  toute donnée relative à une infraction, une condamnation ou une mesure  de sûreté ;
c) Les informations nécessaires à l'administration des services visés par la présente norme simplifiée :
- afin de faciliter le regroupement des enfants d'une famille dans  un même établissement scolaire ou au sein d'un même service mis en œuvre  par le responsable de traitement, le nombre d'enfants de la fratrie,  leurs nom et prénom ; - une attestation d'assurance, dans le respect de la réglementation en vigueur ; - les données permettant d'effectuer le paiement (identification postale ou bancaire), - afin de justifier de l'application d'une tarification particulière  ou lorsque les prestations sont soumises à condition de ressources : - le revenu imposable ; - le numéro d'allocataire à la Caisse des allocations familiales ; - le quotient familial déterminé par la Caisse nationale des allocations familiales (CNAF) ; - la composition de la famille et la situation des personnes à charge ; - la nature des prestations ou aides sociales dont les représentants légaux bénéficient ; - les données relatives aux procédures de recouvrement amiable ou judiciaire des créances relatives aux services en cause ;
d) Leurs autorisations relatives :
- aux interventions chirurgicales d'urgence ; - à la prise et/ou la diffusion de photographies ; - à des sorties ou activités spécifiques, accompagnées des données relatives aux équipements qu'elles rendent nécessaires ;
2. Des données relatives aux enfants portant sur : a) Leur identité et leurs coordonnées :
- nom ; - prénoms ; - sexe ; - date et lieu de naissance ; - photographie ; - adresse ;
b) Le ou les services fréquentés :
- pour l'établissement des listes scolaires, l'école fréquentée, les dates d'entrée et de sortie de cette école, la classe ; - pour le contrôle de l'obligation scolaire, la date de la déclaration annuelle d'instruction dans la famille ; - pour les préinscriptions et inscriptions dans un établissement ou  service d'accueil des enfants de moins de six ans, la date d'entrée  souhaitée, la nature et le noms des structures souhaitées et, le cas  échéant, la structure d'accueil fréquentée, les dates d'entrée et de  sortie de la structure ; - activités périscolaires et extrascolaires auxquelles il est  inscrit, les dates d'inscription et de cessation de la participation à  celles-ci ; - dates de présence ou d'absence aux services donnant lieu à une facturation dépendant de celles-ci ;
c) Leur état et leurs besoins spécifiques :
- renseignements relatifs à l'état vaccinal obligatoire à jour de l'enfant (date et nature des vaccins) ; - de manière facultative, les renseignements relatifs à l'état  vaccinal conseillé mais non obligatoire à jour de l'enfant (date et  nature des vaccins) ; - régime alimentaire, à l'exclusion de toute information faisant  apparaître directement ou indirectement des données visées à l'article  8-I de la loi du 6 janvier 1978 modifiée ; - à l'exclusion de toute information relative à la nature du handicap ou des pathologies : - la présence d'un handicap nécessitant une prise en charge  particulière ou une adaptation des conditions d'accueil et les mesures  de prise en charge ou d'adaptation retenues ; - la mise en place d'un plan d'accueil individualisé (PAI), au sens de la circulaire n° 2003-135 du 8 septembre 2003 susvisée ; - la mise en place d'un projet personnalisé de scolarisation (PPS), au sens de l' article D. 351-5 du code de l'éducation ; - sous réserve de recueillir le consentement exprès des  représentants légaux au traitement de données relatives à la santé du  mineur, conformément à l'article 8-II-1° de la loi du 6 janvier 1978  susvisée : - de manière facultative, les allergies ou pathologies nécessitant  une prise en charge particulière ou une adaptation des conditions  d'accueil que les représentants légaux de l'enfant souhaiteraient porter  à la connaissance du personnel encadrant et qui ne sont pas de nature à  justifier la mise en place d'un PAI ; - pour
l'admission d'un mineur en centre de vacances, en centre de  loisirs sans hébergement et en placement de vacances, une fiche de suivi  sanitaire, recueillie et conservée selon les modalités prévues par les  dispositions législatives et réglementaires en vigueur ;
d) Une éventuelle demande de dérogation scolaire :
- école de scolarisation souhaitée et commune de celle-ci si elle  diffère de celle auprès de laquelle la demande de dérogation est  formulée ; - motif de la demande ; - documents justifiant et motivant la demande de dérogation ; - décision de l'administration ;
3. Des données relatives aux personnes autorisées à venir chercher le mineur ou à prévenir en cas d'urgence :
- nom ; - prénoms ; - photographie ; - lien avec le mineur ; - numéros de téléphone.
Afin d'alimenter d'autres traitements ou d'enrichir leurs propres  données, les traitements faisant l'objet de la présente norme simplifiée  peuvent être mis en relation avec des traitements utiles au regard des  finalités prévues à l'article 1er, et pour les seules données  strictement pertinentes.
 
Article 3
Durées de conservation : Conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée,  des données à caractère personnel ne peuvent être conservées que le  temps strictement nécessaire à l'accomplissement de la finalité pour  laquelle elles ont été collectées. Les données à caractère personnel collectées pour les finalités  visées à l'article 1er de la présente norme simplifiée et les pièces  justificatives y afférentes ne doivent ainsi pas être conservées, en  base active, au-delà de la durée de :