AgentPublic/cnil huggingface dataset:
S'agissant du droit à l'information des personnes concernées, la Commission insiste sur la nécessité de définir les modalités d'information des salariés dont l'employeur aura librement choisi de recourir à la DSN. 
Ceux-ci seront clairement informés, de manière systématique et individuelle, notamment via l'envoi d'une information écrite individuelle, par courriel ou par courrier joint à leur fiche de paie par exemple.
S'agissant des droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, le portail www.net-entreprise.fr précisera auprès de quel organisme gérant les données à caractère personnel issues de la DSN le droit d'accès pourra s'exercer.
Le ministère a indiqué que les salariés concernés pourraient exercer leur droit d'accès auprès de la CNAV, de la CCMSA, des CPAM, des CGSS et des organismes proposant des prestations complémentaires. 
La Commission rappelle que les procédures permettant aux salariés et aux demandeurs d'emploi d'exercer leurs droits d'accès et de rectification auprès des organismes concernés doivent être claires et faciles à mettre en œuvre.
C'est pourquoi, concernant l'exercice du droit de rectification, compte tenu qu'une erreur de saisie des données est susceptible de survenir soit au niveau de la paie de l'employeur soit au niveau du report de données au compte de l'assuré effectué par l'organisme dépositaire de la DSN (CNAV ou MSA), la Commission recommande que des courriers ou courriels types puissent être adressés par la CNAV, par la MSA ou par tout autre organisme partenaire aux employeurs qui auraient commis une erreur au niveau de la paie, afin que ceux-ci procèdent à ladite rectification. 
La Commission prend acte qu'un service d'assistance téléphonique dédié sera créé afin d'orienter la personne concernée vers le service approprié pour exercer ses droits.
S'agissant de l'exercice du droit d'opposition par les salariés concernés, le ministère a indiqué faire application du 3ème alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée qui exclut l'exercice de ce droit lorsque le traitement répond à une obligation légale (les employeurs ayant l'obligation légale de procéder à de telles déclarations). 
Sur les sécurités (articles 3-IV-B et 3-VI du projet de décret)
Les employeurs souhaitant transmettre les données par l'intermédiaire du système DSN doivent disposer d'un compte d'accès et s'authentifier par l'utilisation d'un mot de passe ou d'un certificat électronique.
S'agissant des transferts de données vers les organismes destinataires (Pôle emploi, Agirc-Arrco ou la FNMF par exemple), une convention pour les échanges devra être signée. La Commission a pris acte que le modèle de convention finalement retenu lui sera transmis officiellement pour information, avant signature. 
Les organismes auront le choix entre deux conventions : la convention INTEROPS, protocole garantissant l'authenticité de l'émetteur ainsi que la confidentialité des échanges en chiffrant les communications (chiffrement SSL 128 bits) ou bien la convention pour les échanges de type CFT (Cross File Transfert) -protocole assurant également, par l'utilisation de réseaux virtuels privés (VPN) bâtis sur des liaisons privées, l'authenticité de l'émetteur ainsi que le chiffrement des communications et la confidentialité des échanges.
Ces conventions disposent des habilitations nécessaires pour l'accès aux données traitées dans la DSN au sein de l'organisme partenaire. 
Par ailleurs, le personnel de la CNAV ou de l'ACOSS devra également disposer d'habilitations spécifiques pour accéder aux données. 
La Commission prend acte que le ministère mettra en œuvre ses recommandations concernant les mots de passe utilisés par les administrateurs, à savoir des mots de passe dont la longueur minimale est de 10 caractères, comportant au moins une majuscule, une minuscule, un caractère spécial et un chiffre et qui soient modifiés régulièrement.
Les connexions et déconnexions des comptes seront tracées.
Les données stockées sur les serveurs de la CNAV ainsi que sur ceux de l'ACOSS seront protégées en confidentialité par leur chiffrement. 
L'ensemble des opérations effectuées lors des échanges sera tracé.
Enfin, les données seront sauvegardées quotidiennement et seront conservées sur des supports utilisant la technologie RAID, afin d'assurer la pérennité des données en cas de panne d'un disque dur.
Les mesures de sécurité mises en œuvre n'appellent pas d'observation particulière. 
Sur le bilan de la première phase
La Commission demande à la DSS de lui soumettre un bilan détaillé de la mise en œuvre du dispositif DSN dans le cadre de la saisine qui sera effectuée en 2015 concernant le projet de décret permettant la généralisation de la DSN à compter du 1er janvier 2016. 
Ce bilan devra notamment faire apparaître : 
•- l'information effectuée auprès des salariés et des demandeurs d'emploi par les partenaires du GIP-MDS dans le cadre du déploiement de la DSN ; 
•- un tableau récapitulatif des statistiques relatives à la mise en œuvre du dispositif DSN (nombre d'employeurs ayant opté pour la DSN, nombre de salariés concernés, nombre de demandes de droits d'accès ou de rectification, nombre de données corrigées via la DSN, nombre de versements indus évités, nombre de versements dus et récupérés, présentation synthétique des mises à jour et des purges de données effectuées) ;
•- un bilan relatif aux transmissions de données de l'ACOSS, de la CCMSA et de la CNAV aux organismes partenaires (nombre de transmissions effectuées, éventuels problèmes techniques rencontrés) ; 
•- un descriptif des habilitations spécifiques effectivement attribuées, notamment au sein de la CNAV et de la CCMSA ; 
•- les améliorations réalisées, ou prévues, en termes de prévention et de lutte contre la fraude ; 
•- les observations à partir desquelles la DSS se fonde pour faire évoluer les finalités, les données, les durées de conservation, les destinataires, les droits des personnes ou les sécurités dans le cadre de la généralisation du dispositif DSN en 2016.
La Présidente 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'Education nationale (MEN) d'une demande d'avis concernant un projet d'arrêté relatif à la mise à disposition des chefs d'établissements d'un téléservice permettant à l'élève et à ses responsables légaux de s'inscrire en classe de seconde dans un lycée général et technologique ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de l'éducation ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la demande d'avis du Directeur général de la Direction générale de l'enseignement scolaire (DGESCO) sur un projet d'arrêté relatif à la mise à disposition des chefs d'établissements d'un téléservice permettant à l'élève et à ses responsables légaux de s'inscrire en classe de seconde dans un lycée général et technologique ;Sur la proposition de Monsieur Eric PERES, commissaire, et après avoir entendu Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Conformément à l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, la CNIL a été saisie par le ministère de l'Education nationale (MEN) d'une demande d'avis relative à la mise à disposition des chefs d'établissements d'un téléservice destiné aux élèves et à leurs responsables légaux afin de s'inscrire en classe de seconde dans un lycée général et technologique.
Ce téléservice, dénommé  Télé-services-inscriptions , permettra, à l'issue des procédures d'affectation en sortie de troisième, aux élèves et à ses responsables légaux d'inscrire celui-ci en classe de seconde, dans un lycée général et technologique. 
Il se présentera sous la forme d'un nouveau module de consultation à distance de l'application  SCONET , qui permet, au niveau de l'établissement scolaire, la saisie des acquis des élèves dans le traitement de gestion administrative, pédagogique et financière SCOLARITE.
La Commission a pris acte que l'usage de ce téléservice reste entièrement facultatif. Tout d'abord, les conseils d'administration des différents établissements du 2nd degré restent libres de ne pas recourir à ce téléservice. En outre, les parents d'élèves de l'établissement qui auraient fait le choix de mettre ce téléservice à disposition conservent la faculté de ne pas activer leur compte et de ne pas recourir à ce téléservice.
Ce téléservice s'inscrit dans le cadre de l'offre des téléservices SCONET que le MEN propose aux élèves et aux responsables légaux de l'enfant, s'agissant de la consultation des notes, des absences et des acquis de l'élève à distance (demande d'avis n°1409718 du 27 janvier 2010 sur le traitement SCONOTES).
La Commission reste particulièrement attentive à ce que la dématérialisation des contenus mis à disposition des responsables légaux en vue de les informer de la scolarité de leurs enfants ne s'accompagne pas d'une suppression concomitante des contenus  papier . 
La mise en œuvre du téléservice-inscriptions
L'ouverture d'un compte 
La création du compte de l'élève est effectuée par l'élève à partir du code d'activation qui lui sera transmis par l'établissement lors d'une réunion d'information organisée sous la responsabilité d'un enseignant ou d'une personne de l'équipe éducative de l'établissement.
La création du compte des responsables légaux sera effectuée conformément à la procédure suivante : - un code d'activation sera adressé au représentant légal de l'élève par courrier ou par courriel, afin de lui permettre de se connecter au téléservice ; - le représentant légal pourra librement choisir d'activer ce service ou non ; - dans le cas d'une absence d'utilisation du code d'activation transmis, pendant un délai de 3 mois, ce code d'activation sera détruit ; - dans le cas d'une activation du compte, le représentant légal créera un compte personnel en définissant un mot de passe personnel associé à ce compte ; - les données d'inscription seront rendues accessibles à distance via ce téléservice.
Le refus de l'un des responsables légaux de l'enfant de recourir au Télé-services-inscriptions pourra être recueilli par courrier ou par courriel. Ce refus concernera tous les enfants dont il a la responsabilité dans le même établissement. 
Conformément à ce qu'avait recommandé la CNIL dans le cadre de la demande d'avis relative au téléservice SCONOTES, le MEN confirme qu'aucune création de compte de l'élève n'aura lieu avant le recueil du consentement des parents d'élèves. 
La fermeture d'un compte 
Lorsque l'élève quitte l'établissement, la fermeture du compte a lieu, par défaut, en fin d'année scolaire ou bien après réception d'une demande expresse des responsables légaux de l'enfant en ce sens, par courrier ou par courriel. 
Sur la finalité du traitement :
Le Télé-services-inscriptions a pour objet  de permettre aux parents et représentants légaux d'inscrire leur enfant, élève de 3ème, en classe de seconde dans un lycée général et technologique  (article 1er du projet d'arrêté). 
L'objectif de ce téléservice est donc uniquement d'inscrire les enfants au lycée à l'issue des procédures d'affectation en sortie de troisième afin de confirmer ou non leur demande d'inscription dans ce lycée.
Le Télé-services-inscriptions ne se substitue pas aux modalités usuelles et réglementaires d'inscription des élèves en classe de seconde et n'a notamment pas pour objectif de  remplacer  les moyens de communication traditionnellement utilisés par les établissements (notamment les courriers postaux ou électroniques).
Sur la nature des données traitées :
Les catégories de données traitées sont des données d'identification, collectées auprès de l'élève et des responsables légaux, et des données issues de l'application  SCONET . 
En premier lieu, les informations relatives à l'identification des élèves sont les suivantes : - nom de famille ;- prénoms ;- sexe ;- date de naissance ;- lieu de naissance ;- adresse du domicile si elle est différente de celles des deux responsables légaux ;- téléphones : case à cocher  accepte les SMS  ;- adresse courriel ;- régime (demi-pensionnaire, externe ou interne) (article 2 du projet d'arrêté).
La Commission prend acte que le numéro d'identification académique des élèves du 2nd degré (n°INE-BEA) ne sera pas saisi dans l'application. 
En second lieu, les informations relatives à l'identification des responsables légaux sont les suivantes : - civilité ;- nom de famille ;- prénom ;- lien avec l'élève (à choisir parmi  Mère ,  Père ,  l'élève lui-même ,  autre membre de la famille ,  tuteur ,  autre cas ) ;- adresse ;- téléphones : case à cocher  accepte les SMS  ;- adresse courriel ;- profession à choisir parmi une liste de catégories socio-professionnelles ;- identifiant(s) et mot(s) de passe choisi(s) par le ou les responsables légaux permettant l'accès au téléservice (article 2 du projet d'arrêté).
L'alimentation du traitement sera effectuée :- concernant les données d'identification des élèves : par le biais des données fournies directement par l'élève et des données traitées dans SCONET ;- concernant les données d'identification des responsables légaux : par les données fournies directement par les responsables légaux ; - concernant les données de connexion des élèves et des responsables : par les codes d'activation cryptés mis à disposition par le MEN, puis les mots de passe et login choisis par l'usager ; - concernant les informations relatives à l'inscription dans un lycée général et technologique : par une saisie directe des informations par les élèves ou les responsables légaux.Sur la durée de conservation des données :
Les données traitées seront conservées une année, afin de couvrir l'année scolaire à venir.
Sur les destinataires des données :
Les destinataires des données traitées sont exclusivement les chefs d'établissement et les agents habilités des services administratifs de l'établissement. 
Chaque destinataire des données disposera d'un compte personnel, permettant que celui-ci soit identifié personnellement. Ainsi, chaque responsable légal concerné disposera d'un identifiant de connexion personnel et distinct.
Sur l'information des personnes :
Le Télé-services-inscriptions est un module de SCOLARITE. Ainsi, les droits des personnes au regard des articles 32, 39 et 40 de la loi du 6 janvier 1978 modifiée seront portés à la connaissance des responsables légaux au moment du recueil des données relatives à l'identité de l'élève en début d'année scolaire, lors de son inscription en 3ème. 
Sur les droits d'accès, de rectification et d'opposition des personnes :
Des mentions légales relatives à la mise en œuvre du droit d'accès seront également portées sur les formulaires de collecte des données et les courriers personnalisés adressés aux responsables légaux pour leur communiquer les codes d'activation de leurs comptes. 
Le Télé-services-inscriptions est un service facultatif.
Néanmoins, dans le respect des droits des parents d'élèves ne souhaitant pas recourir à ce téléservice, la Commission recommande que, par défaut, dans le traitement SCONET, la case  publiable TS  (signifiant l'activation du téléservice) soit décochée.
Sur les mesures de sécurité :
Etant un module du traitement SCONET, les garanties de sécurité appliquées au Téléservice-inscriptions résultent des conditions de sécurité décrites dans le traitement précité, déclarées en 1993. 
Toutefois, la Commission appelle l'attention du MEN sur les points suivants. En premier lieu, la Commission rappelle l'importance de définir des mesures de sécurité physique adéquates pour l'accès aux équipements hébergeant SCONET et le téléservice. 
En second lieu, la Commission rappelle qu'elle recommande des mots de passe de huit caractères minimum comprenant plusieurs types de caractères. Ces mots de passe ne doivent pas être accessibles aux administrateurs. 
En troisième lieu, la Commission souligne l'importance d'une traçabilité pour la création de comptes et pour les connexions à l'application. La Commission considère notamment qu'une traçabilité des identifiants des utilisateurs administrateurs du service devrait être prévue. Enfin, la Commission recommande une analyse automatique des traces pour y détecter les anomalies.
En dernier lieu, le Télé-services-inscriptions a été conçu pour répondre aux exigences du Référentiel Général de Sécurité (RGS) défini dans l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. 
Autres recommandations de la CNIL
Le Télé-services-inscriptions s'inscrit dans le cadre du développement de l'offre de téléservices scolaires dans le 2nd degré (notes, absences, livret personnel de compétences). 
A ce titre, la Commission insiste sur la nécessité, pour le MEN, d'informer chaque établissement utilisant ce téléservice de son obligation de continuer à mettre à disposition des responsables légaux qui ne seraient pas en capacité d'accéder au téléservice proposé ou qui ne souhaiteraient pas l'utiliser un autre moyen d'accès aux données traitées dans le téléservice (appels téléphoniques, envoi d'un courrier postal, d'un courriel ou d'un SMS). 
Ainsi, une demande écrite en ce sens devra pouvoir être adressée à l'établissement par les responsables légaux de l'élève sur le carnet de correspondance de l'élève. 
Sur la mise en place d'un bilan :
La Commission demande au MEN de lui adresser, dans un délai de 2 ans, un bilan sur la mise en œuvre du Télé-services-inscriptions, afin :- d'indiquer quelles mesures alternatives seront mises à la disposition des responsables légaux ne souhaitant pas utiliser le Télé-services-inscriptions pour procéder à l'inscription de leur enfant en classe de seconde ;- de dresser un tableau récapitulatif des mesures prises par le MENJVA dans le cadre de l'homologation RGS du téléservice ;- de dresser un état des lieux relatif aux actions menées pour informer les personnes de leurs droits, et particulièrement les personnes ne souhaitant pas bénéficier de ce téléservice ;- de réaliser une mesure d'audience des consultations du téléservice.
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par le cabinet CILEX, le 18 septembre 2012, d'une demande de délivrance de label concernant sa formation intitulée  Correspondant Informatique et Libertés  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel Vu le dossier et ses compléments ;Sur la proposition de M. Dominique RICHARD, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La formation, objet de la demande, se compose comme suit : 
Partie I - Principes et Méthodes - Module 1 - Informatique et Libertés - Module 2 - Volet spécifique  Informaticiens  - Module 3 - Lecture "Informatique et Libertés" des outils informatiques actuels de l'entreprise - Module 4 - Organisation du CIL 3,5 heuresPartie II - Formation pratique Conformément à l'article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l'objet d'une évaluation par le Comité de labellisation.La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.
Décide 
De la délivrance du label CNIL  formation  pour la formation intitulée Correspondant Informatique et Libertés  du cabinet CILEX. 
Ce label est délivré pour une durée de trois ans conformément à l'article 53-11 du règlement intérieur de la Commission.
L'utilisation de la marque LABEL CNIL est soumise au respect du règlement d'usage de la marque collective.
L'organisme s'engage à fournir à la CNIL un bilan d'activité au terme de la première année.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par le cabinet ACTECIL, le 4 novembre 2011, d'une demande de délivrance de label concernant sa formation intitulée  Exercer le métier de Correspondant Informatique et Libertés  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d'un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l'égard du traitement des données à caractère personnel Vu le dossier et ses compléments ;Sur la proposition de M. Dominique RICHARD, commissaire, membre du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
L'article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL  délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel .
La formation, objet de la demande, se compose comme suit : 
Les fondamentaux juridiques : - La loi N° 78-17 modifiée Approche Juridique• Le Cadre légal • La Loi Informatique et Libertés• Collecter et utiliser les données personnelles conformément à la loi • Les formalités préalables - La loi N° 78-17 modifiée et le transfert de données • Les principes du flux transfrontières de données • Les moyens d‘encadrements d‘un flux transfrontière • Les transferts de données et les formalités allégées • L'obligation d'information de la personne concernée 
Correspondant Informatique et Libertés (CIL) - Journée 1/2 :- Cadre général- Déployer un projet CIL - Les missions du CIL