AgentPublic/cnil huggingface dataset:
7.  Des données relatives au suivi du jeune par la mission locale à savoir :  date, type et modalités d'entretien, agent ayant réalisé l'entretien,  référent du jeune ; données relatives à son parcours : thème et code de  l'action, libellé de l'action, date de création, de réalisation et état  de l'action, montant de l'allocation, montant des allocations versées,  date et motif de fin de parcours, informations sur les offres d'emploi,  informations relatives aux employeurs, informations relatives aux  organismes partenaires, informations sur le parcours d'insertion ; à sa  formation : formacode (code de référence pour tous les acteurs de la  formation professionnelle), intitulé de la formation, ROME de l'emploi  recherché, code qualification de l'emploi recherché, spécificités du  ROME, date de fin de parcours, appellation, niveau de validation de  l'emploi recherché, niveau de qualification de l'emploi recherché.8.  Des données relatives aux personnels de la mission locale, à savoir :  civilité, nom de naissance, usuel, marital, patronymique, prénoms, date  de naissance, numéro de téléphone professionnel principal, numéro de  fax, courriel professionnelle principale, nom et adresse de la mission  locale, courriel de la mission locale, téléphone de la mission locale,  fonctions.La commission relève que l'information relative à la  naissance d'un parent à l'étranger répond aux obligations prévues par le  règlement n° 1304/2013 du Parlement européen et du Conseil, qui
imposent aux Etats-membres un suivi individuel et continu des  participants, et des indicateurs communs relatifs à certaines  populations. La réponse à cette question est facultative.Elle constate que, à l'exception du NIR, les données sont identiques à celles traitées dans  Parcours 3 .S'agissant  du recours au NIR, le ministère a prévu d'utiliser cette donnée, d'une  part, pour permettre aux missions locales de gérer la mise en œuvre de  dispositifs dont elle a la charge et, d'autre part, pour identifier de  manière certaine les jeunes pris en charge.La commission prend acte  que cette donnée est collectée directement auprès du jeune, au moment de  la proposition de prescription du contrat aidé et de la constitution du  dossier dématérialisé.Elle note que les missions locales disposent déjà de cette information alors même qu'elles ne sont pas autorisées à la traiter.En  effet, lors de l'habilitation de contrats aidés, les missions locales  doivent indiquer le NIR dans les formulaires afin de pouvoir déclencher  le paiement des aides allouées par l'agence de services et de paiement.Par  ailleurs, l'utilisation du NIR est souhaitée par le ministre afin de  limiter les risques d'erreur de saisie, d'homonymie, de patronymie, de  cas de doublons lors du premier contact avec le jeune, en cas de  changement de mission locale ou de fusion de deux ou plusieurs missions  locales, notamment au vu du grand nombre de jeunes suivis (1,4 million  de jeunes sont suivis chaque année).La
commission rappelle que, si  elle mesure pleinement les préoccupations du Gouvernement concernant les  modalités d'identification des personnes et son souci de disposer d'un  identifiant fiable et pérenne, elle demeure néanmoins particulièrement  attentive aux risques qu'induit pour les libertés l'utilisation  extensive d'un identifiant national particulièrement signifiant tel que  le NIR.La CNIL reste vigilante sur la limitation de l'utilisation du  NIR à la sphère de la santé et à la sphère sociale et recommande le  recours à des identifiants spécifiques à chaque secteur d'activité.Aussi,  la commission invite-t-elle le Gouvernement à engager une réflexion sur  la création d'identifiants sectoriels spécifiques.Par ailleurs,  elle relève que le projet soumis à son examen autorise uniquement le  ministre du travail, de l'emploi, de la formation professionnelle et du  dialogue social à créer le traitement  I-MILO , mis en œuvre par les  missions locales, et souligne qu'il n'emporte pas autorisation de  traitement du NIR pour les autres acteurs concernés par l'insertion  professionnelle des jeunes.Dès lors, les acteurs qui ne sont pas  d'ores et déjà autorisés à traiter le NIR par une disposition légale ou  par une autorisation de la CNIL, s'ils souhaitent traiter cette donnée,  devront engager un processus de mise en conformité avec la loi au cours  duquel il leur sera demandé de justifier du caractère pertinent et  indispensable de cette donnée au regard du traitement
envisagé.L'article  6 du projet prévoit que le traitement  I-MILO  vise à être mis en  relation avec des traitements automatisés des collectivités et  organismes qui concourent à l'insertion professionnelle du jeune.Ces  mises en relation sont subordonnées à l'information préalable de la  commission, en application du II de l'article 30 de la loi du 6 janvier  1978 modifiée, et, si nécessaire, à la modification des formalités  effectuées auprès de la commission préalablement à la mise en œuvre de  ces traitements, comme le prévoit l'article 12 du projet.Enfin, la  commission relève que les articles 6 et 12 du projet ne mentionnent pas  les collectivités territoriales qui sont destinataires des données et  dont les traitements peuvent être mis en relation avec I-MILO dans le  cadre du suivi des jeunes dans leur parcours d'insertion  professionnelle.La commission prend acte que le ministère s'est engagé à modifier ces articles en ce sens.Les autres données personnelles collectées n'appellent pas d'observations particulières.La  commission considère que le traitement de l'ensemble des données  précédemment visées est adéquat, pertinent et non excessif au regard des  finalités poursuivies.Sur la durée de conservation des données :L'article  7 du projet prévoit que les informations enregistrées dans le  traitement concernant le jeune sont accessibles jusqu'à la date de son  vingt-sixième anniversaire, à l'exception de celles concernant tes  jeunes inscrits dans un programme en
cours à cette date et bénéficiant  d'un suivi régulier dans ce cadre. Dans ce cas, ces données et  informations sont accessibles jusqu'à la fin du programme ou de la  mesure.Elles sont ensuite directement anonymisées à l'exception des  données collectées dans le cadre des programmes et mesures cofinancés  par le Fonds social européen (FSE) qui font l'objet d'une conservation  intermédiaire pendant une durée de dix-neuf ans pour les seuls besoins  du contrôle et des audits prévus dans le cadre des programmes FSE. Ces  données sont ensuite anonymisées à l'issue de ce délai.En effet, le  programme national FSE de la politique de cohésion de l'Union européenne  est prévu pour sept ans. Sa clôture intervient au mieux deux ans après  la fin de la période de programmation. En outre, la Commission  européenne est en mesure de réaliser des contrôles relatifs à  l'utilisation des fonds alloués pendant dix ans à compter de la clôture  du programme.Cette durée est prorogée par la suspension d'un délai  consécutive à une procédure judiciaire ou, dans le cas d'un  co-financement par le Fonds social européen, à une demande motivée de la  Commission européenne.Au regard de ces éléments, la commission  considère que ces durées de conservation des données n'excèdent pas  celles qui sont nécessaires à l'accomplissement des finalités  poursuivies.Sur les destinataires :L'article 5-I du projet  mentionne les destinataires des données personnelles et l'article 5-II  liste les destinataires des
données anonymisées.Les accès aux  données sont conditionnés par l'habilitation des agents, qui ont accès  uniquement aux données nécessaires à leur mission, dans le cadre de leur  fonction.La commission relève que chaque mission locale accède  exclusivement à ses données dont elle garde l'entier contrôle, même dans  une configuration d'hébergement mutualisé_Elle estime que, pour des  raisons de protection et de confidentialité des données, le transfert  d'un dossier d'une structure à une autre doit avoir été autorisé par le  ministère, étant précisé que ce dernier n'accède pas au contenu des  dossiers.La commission constate également que le traitement  I-MILO   permet la transmission aux destinataires chargés du contrôle de la  gestion des fonds du FSE, en application des nouveaux règlements UE n°  1303/2013 et n° 2014-2013 du Parlement qui imposent un renforcement des  systèmes de suivi et d'évaluation.Elle prend acte que la DARES  figure au nombre des destinataires des données nominatives nécessaires à  des études longitudinales ponctuelles et des données non-nominatives  dans le cadre de sa mission d'évaluation et d'élaboration de  statistiques.La commission rappelle que ces destinataires ne doivent  recevoir que les seules informations strictement nécessaires à  l'exercice de leurs missions.Sur l'information des personnes :Les  personnes concernées par le traitement  I-MILO  seront informées,  conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par  une
mention figurant dans le formulaire de premier accueil et par voie  d'affichage dans les locaux des missions locales.La commission considère que les mesures prévues au titre de l'information des personnes sont satisfaisantes.Sur les droits d'accès, de rectification et d'opposition des personnes :Le  projet prévoit que les droits d'accès et de rectification, prévus par  les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exercent  directement auprès du directeur de la mission locale dont relève  l'intéressé.Il écarte expressément l'application du droit  d'opposition pour motif légitime, comme le dernier alinéa de l'article  38 de la loi du 6 janvier 1978 modifiée le permet.Ces dispositions  du projet relatives aux droits d'accès, de rectification et d'opposition  n'appellent pas d'observation de la part de la commission.Sur la sécurité du traitement :La  commission relève qu'une procédure d'homologation au référentiel  général de sécurité (RGS) est prévue et qu'elle visera à garantir la  sécurité des échanges entre les administrations concernées.Elle  relève également qu' I-MILO  est concerné par l'alerte de sécurité  publiée le 15 octobre 2014 par le Centre gouvernemental de veille,  d'alerte et de réponse aux attaques informatiques (CERT). La commission a  été informée par le ministère qu'un plan d'action était en cours afin  de corriger la vulnérabilité du protocole sécurisé SSLv3 dans les  meilleurs délais. A cet égard, la commission estime indispensable que le
correctif soit appliqué au traitement  I-MILO  avant l'ouverture des  accès à l'application.Des profils d'habilitation définissant les  fonctions ou les types d'informations accessibles à un utilisateur ont  été définis et l'accès au traitement  I-MILO  est sécurisé par la mise  en œuvre d'une authentification par identifiant et mot de passe  conforme aux préconisations de la commission.Les échanges de données sont réalisés au moyen de canaux sécurisés et, notamment, les données transmises sont chiffrées.Par  ailleurs, toutes les opérations de consultation, création, mise à jour,  suppression sont tracées et conservées pendant sept mois.La  commission rappelle que des garanties doivent être prises pour assurer  la sécurité des données et en particulier de l'utilisation du NIR.Sous  réserve de son observation relative à l'alerte émise le 15 octobre 2014  par le CERT, les mesures de sécurité décrites par le responsable de  traitement sont conformes à l'exigence de sécurité prévue par l'article  34 de la loi du 6 janvier 1978 modifiée. La commission rappelle  toutefois que cette obligation nécessite la mise à jour des mesures de  sécurité au regard de la réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de l'économie, de l'industrie et du numérique d'une demande d'avis portant sur un projet d'arrêté relatif à la mise en œuvre, à la direction générale de la concurrence, de la consommation et de la répression des fraudes, d'une application contentieux dans le système opérationnel pour les réseaux et les activités ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I (2°) ;Vu le décret n° 2001-1178 du 12 décembre 2001 modifié relatif à la direction générale de la concurrence, de la consommation et de la répression des fraudes ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2009-1377 du 10 novembre 2009 relatif à l'organisation et aux missions des directions régionales des entreprises, de la concurrence, de la consommation, du travail et de l'emploi ;Vu le décret n° 2009-1484 du 3 décembre 2009 modifié relatif aux
directions départementales interministérielles ;Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :La commission a été saisie par le ministre de l'économie, de l'industrie et du numérique d'un dossier de formalité préalable relatif à la mise en œuvre, par la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), d'un traitement de données à caractère personnel dédié à la gestion du contentieux dans le système opérationnel pour les réseaux et les activités, dénommé  SORA Contentieux .SORA Contentieux est une application spécifique de l'application Système opérationnel pour les réseaux et les activités (SORA), utilisée par la DGCCRF. Elle concerne la gestion et le suivi des contentieux relatifs aux infractions en matière de régulation des marchés, de protection des populations, de qualité et de sécurité des produits et services. Le périmètre de ce traitement est limité aux suites pénales des constations faites sur procès-verbal par les enquêteurs lors de leurs contrôles.Dans la mesure où ce traitement a pour objet la constatation et la poursuite d'infractions pénales, sa mise en œuvre doit être autorisée par arrêté ministériel, pris après avis motivé et publié de la commission, en application des dispositions de l'article 26-1 (2°) de la loi du 6 janvier 1978 modifiée.Sur la finalité du traitement :SORA Contentieux est dédiée aux suites pénales des constations faites par les enquêteurs sur procès-verbal à la suite d'une demande du parquet ou d'une enquête.Le traitement a pour objet la gestion et le suivi des
contentieux liés à l'exercice des missions des agents des directions mentionnées ci-après, compétents en matière de régulation des marchés, de protection des populations, de qualité et de sécurité des produits et services.Dans la mesure où ces infractions relèvent de la compétence de plusieurs administrations, l'article 1er du projet d'arrêté prévoit que l'application SORA Contentieux est mise en œuvre dans les directions régionales des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIRECCTE), dans les directions des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIECCTE), dans les directions départementales de la cohésion sociale et de la protection des populations (DDCSPP), à la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) et dans ses services à compétence nationale.Dans le cadre des missions de ces directions, la collecte et l'enregistrement des informations concernent les principaux éléments constitutifs du dossier sont nécessaires.Le dossier est ensuite transmis au parquet, seul habilité à décider des suites pénales. Il est enrichi au fur et à mesure de l'avancement du dossier, au stade de l'action publique et de la phase judiciaire.L'application permet également la production de tableaux de bord des transactions, d'agenda des audiences, l'édition de  liasses contentieuses  préremplies automatiquement à expédier au parquet et des documents relatifs à une
transaction destinés aux personnes concernées et au Trésor public.Enfin, SORA Contentieux est pourvu d'un module de gestion électronique des documents (GED) permettant la recherche et la consultation de documents numérisés relatifs au  Domaine contentieux La commission prend acte de ces finalités, qui apparaissent déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.Sur la nature des données traitées :L'article 3 du projet d'arrêté liste les données à caractère personnel qui seront traitées dans l'application projetée.S'agissant des personnes physiques ou morales auteurs de l'infraction, sont collectés les nom, fonction, date de naissance, lieu de naissance, adresse personnelle, code postal, localité, pays, SIRET, raison sociale/enseigne, adresse, forme juridique et nom du responsable. La commission prend acte que l'article 3 sera modifié, à sa demande, afin que soient clairement distinguées les données enregistrées relatives aux personnes physiques auteurs d'infractions, des données relatives aux personnes morales.En ce qui concerne les éléments du dossier contentieux et de son suivi, les caractéristiques de l'enquête, origine, état du rapport, infraction, transaction et suites pénales sont enregistrés et traités.S'agissant des données d'identification des agents utilisateurs du traitement, sont collectés les nom, prénom, unité d'affectation, unité opérationnelle, service, programme LOLF auquel
appartient l'agent, réseaux de compétence et profil utilisateur.La liste de ces données n'appelle pas de remarque particulière de la part de la commission.Sur la durée de conservation des données :Les données personnelles enregistrées en cas de contentieux sont conservées jusqu'au classement définitif de la procédure (acquittement de la transaction ou suite judiciaire définitive).Les données relatives aux utilisateurs du traitement sont conservées jusqu'au départ de l'agent concerné.La commission estime que ces durées de conservation sont conformes aux dispositions de l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.Sur les destinataires du traitement :L'article 5 du projet d'arrêté prévoit que les agents des services susmentionnés compétents en matière de régulation des marchés, de protection des populations, de qualité et de sécurité des produits et services peuvent accéder directement aux données enregistrées dans le traitement SORA Contentieux,  à raison de leurs attributions respectives et dans la limite du besoin d'en connaître . Dans la mesure où ces agents seront individuellement habilités et où des profils d'accès spécifiques seront mis en œuvre, cette liste n'appelle pas d'observations particulières de la part de la commission.Celle-ci relève néanmoins que les agents en charge de l'enregistrement et du suivi des procédures contentieuses de leur unité pourront accéder à l'ensemble des dossiers contentieux enregistrés dans le traitement, aux seules fins de
représentation de l'administration devant les juridictions compétentes. En revanche, en ce qui concerne l'accès à la GED, compte tenu de la sensibilité et de la confidentialité des informations qui y figurent, des profils spécifiques et restrictifs d'accès ont été prévus.Les magistrats, dans le cadre de l'action publique diligentée, ainsi que le Trésor public, aux seules fins de gestion du paiement des transactions, pourront recevoir communication des données personnelles enregistrées dans l'application.L'article 5 du projet d'arrêté prévoit enfin que les agents et personnes physiques pourront également recevoir communication des données qui les concernent. La commission rappelle à cet égard que cette transmission ne peut intervenir que dans le cadre de l'exercice de leurs droits d'accès et de rectification et prend acte de l'engagement du ministère à modifier ledit article sur ce point, afin d'éviter toute confusion entre les destinataires du traitement et les personnes concernées.Sur les droits des personnes :Le droit d'information des personnes concernées par le traitement se matérialise par des mentions dans les correspondances avec les établissements et les particuliers.Les personnes mises en cause sont en effet informées par courrier des mesures, judiciaires ou non, prises en suite des contrôles au cours desquels a été constaté un manquement ou une infraction en matière régulation des marchés, de protection des populations, de qualité et de sécurité des produits et
services. Ces courriers mentionnent notamment les modalités d'exercice de leurs droits d'accès et de rectification, qui s'exercent, conformément aux articles 39 et 40 de la loi du 6 janvier 1978 susvisée, directement auprès des directeurs des services mentionnés à l'article 1er du projet d'arrêté.L'article 7 du projet d'arrêté prévoit que le droit d'opposition prévu à l'article 38 de la loi  Informatique et libertés  ne s'applique pas au traitement projeté.Ces modalités d'exercice des droits des personnes n'appellent pas d'observation de la part de la commission.Sur la sécurité des données et la traçabilité des actions :L'authentification des utilisateurs du traitement respecte les préconisations de la commission, notamment en termes de complexité des mots de passe. Chaque utilisateur dispose en effet d'un identifiant qui lui est propre et le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur de dix caractères et qu'ils contiennent au moins un chiffre, une minuscule et un caractère spécial. Ces mots de passes doivent être renouvelés tous les 75 jours.Une traçabilité des opérations de suppression, de création ou de modification des données enregistrées dans SORA Contentieux est assurée, comme le prévoit expressément l'article 3 du projet d'arrêté, les journaux applicatifs étant conservés pendant une durée maximale d'un an. Au vu de la diversité et du nombre important d'utilisateurs du traitement, la commission
estime que les opérations de seule consultation devraient également faire l'objet d'une traçabilité et prend acte de l'engagement du ministère à assurer une telle traçabilité.L'accès à distance au traitement des services utilisateurs est sécurisé au moyen du protocole SSL ou via un tunnel VPN IPSec. La commission rappelle ses recommandations en matière d'utilisation d'outils cryptographiques et de leur mise en œuvre, à savoir suivre les règles et recommandations décrites dans les annexes BI, B2 et B3 du référentiel général de sécurité publié par l'ANSSI. Il est notamment recommandé de ne pas utiliser de clé RSA inférieure à 2 048 bits.Enfin, l'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.Les mesures de sécurité décrites par le responsable de traitement sont dès lors conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.