AgentPublic/cnil huggingface dataset:
La crèche Les P'tits as mène une activité d'accueil des enfants de moins de six ans, dans le cadre des articles L.2324-1 et suivants du code de la santé publique.
 
Conformément à ces articles, elle mène une action concertée avec le Conseil général du Puy-de-Dôme et organise son activité en partenariat avec les autres crèches du département. 
Elle contribue activement à la création d'un réseau  inter-crèches , permettant notamment une gestion concertée des fournisseurs, des transports dans le cadre de sorties ou encore d'une ludothèque itinérante.
 
Sur la finalité
Dans le cadre du réseau  inter-crèches  du département du Puy-de-Dôme, le traitement soumis par la crèche Les P'tits As permettra de gérer, les informations relatives aux responsables légaux des enfants accueillis en crèche n'ayant pas procédé au paiement de la prestation d'accueil. 
La finalité du traitement est de partager avec l'ensemble des autres crèches du département les informations relatives aux parents n'ayant pas payé une crèche. 
 
Ainsi, les personnes concernées pourront se voir rappeler leur obligation de payer la crèche d'origine avant inscription de l'enfant dans la nouvelle crèche. 
 
Cette finalité n'appelle pas d'observation de la Commission. 
 
Sur les données traitées
Les données relatives aux responsables légaux n'ayant pas procédé à un ou plusieurs paiements seront les suivantes :
•-       Le nom, le prénom et la date de naissance de l'enfant concerné ; 
•-       Le montant de l'impayé ;
•-       La crèche concernée par cet impayé ; 
•-       La date d'enregistrement de ces données. 
 
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. 
 
Sur les destinataires
Seront seuls destinataires de ces données les responsables des crèches du réseau  inter-crèches  du département du Puy-de-Dôme. Ce qui n'appelle aucune observation. 
 
Sur l'information et le droit d'accès 
Lors de l'inscription en crèche, l'ensemble des responsables légaux concernés sera informé de la mise en place de ce dispositif par courrier. 
 
En cas d'incident de paiement, les personnes concernées recevront un courrier les informant du délai dont ils disposent afin de régulariser la situation. 
 
A l'expiration de ce délai, un appel téléphonique les préviendra de cet enregistrement. 
 
Le courrier d'information susmentionné indiquera clairement que les données saisies dans le traitement seront supprimées de manière définitive dés que le paiement sera effectué et la situation régularisée. 
 
Les droits d'accès et de rectification s'exerceront auprès de la crèche multi-accueil Les P'tits As, 15 rue d'Alsace, 63000 CLERMONT-FERRAND. 
Sur les mesures de sécurité
Le traitement des données sera effectué au moyen d'une feuille Excel stockée exclusivement sur le service en ligne  Blog4ever .
 
Cet ordinateur est accessible au moyen d'un identifiant et d'un mot de passe de 10 caractères.
La Commission rappelle ses recommandations en matière de confidentialité des données : 
- le traitement doit obliger les utilisateurs à avoir recours à des mots de passe de 8 caractères minimum, contenant des lettres majuscules, des lettres minuscules, des chiffres et des caractères spéciaux, ou bien utiliser des techniques d'authentification apportant un niveau de sécurité analogue ; 
- concernant le contrôle des accès aux données, des mesures de traçabilité doivent permettre d'imputer toutes les opérations de consultation, modification ou de création à l'utilisateur à l'origine de cette opération, et ce afin de pouvoir détecter d'éventuelles opérations frauduleuses a posteriori. Ces données de traçabilité doivent être conservées 6 mois dans des conditions permettant de garantir leur intégrité et leur confidentialité, et une procédure opérationnelle doit en définir les modalités d'accès ; 
- concernant les échanges de données sur des supports physiques, la Commission demande à ce que les données soient chiffrées lors de ces échanges au moyen d'algorithmes de chiffrement réputés forts, d'utiliser des clés de chiffrement suffisamment robustes, et de transmettre les clés de chiffrement par un canal de communication indépendant de celui de transmission des supports ;
- concernant les réseaux informatiques utilisés pour accéder au traitement, ceux-ci doivent faire l'objet de mesures de sécurité visant à garantir la confidentialité des donnés échangées lorsque tout ou partie de ces réseaux sont accessibles à des tiers.
 
Sur les autres caractéristiques du traitement
Les données enregistrées seront conservées le temps durant lequel l'enfant est susceptible d'être réinscrit en crèche, c'est à dire au maximum pendant 3 ans.
 
Les données saisies dans le traitement seront supprimées de manière définitive dés que les responsables légaux concernés auront procédé au paiement demandé. 
 
Compte tenu de la nature du traitement, la Commission recommande qu'une personne expressément habilitée en ce sens procède à une mise à jour ainsi qu'à une suppression manuelle des données enregistrées dans le traitement tous les semestres. 
Autorise, conformément à la présente délibération, la crèche multi-accueil Les P'tits As à mettre en œuvre le traitement susmentionné.
 
La Présidente
 
 
 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1575862)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’Office Social de Saint-Quentin d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la  gestion des dossiers des adhérents.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 25-I-7°.
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, rapporteur et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
L’Office Social de Saint-Quentin est une association de loi 1901 ayant pour objet social :• de jouer le rôle d'un organisme d'information auprès des associations, organismes publics ou privés, professionnels de santé et population saint-quentinoise de manière à permettre les meilleures utilisations et animations des équipements existants ou à venir ;• de faciliter la liaison entre les associations, les organismes publics ou privés à caractère social ou médico-social ;• de proposer, promouvoir, gérer toute réalisation ou service dont le besoin se ferait sentir ;L’association bénéficie notamment de subventions publiques et du versement du prix des prestations (par les usagers et par les différents partenaires : Etat, collectivités territoriales, organismes sociaux…) ;Au regard de son objet social et de ses sources de financement  la Commission considère que la mission de l’Office Social de Saint-Quentin est d’intérêt public.
Sur la finalité
La finalité du présent traitement est la gestion des dossiers des bénéficiaires des prestations d’aide à domicile (personnes âgées et personnes en situation de handicap) et des professionnels intervenants adhérents de l’association mandatés par celle-ci. La Commission considère la finalité poursuivie comme déterminée, légitime et explicite. La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.Elle considère que le recours à la formalité de l’autorisation se justifie également au regard de l’article 25-I-7° de la loi pour ce qui concerne le traitement des données portant sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à la vie personnelle (habitude de vie, situation familiale) ;
à la vie professionnelle (CV, situation professionnelle, scolarité et formation) ;
aux informations d’ordre économique et financier (revenus, situation financière) ;
aux données portant sur les difficultés sociales des personnes (dossiers établis par les assistantes sociales) ;
aux données de santé (données se limitant à la saisie de l’appartenance à un Groupe Iso-Ressources (GIR)).
Ces données apparaissent pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels habilités de l’association.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’affichage dans les locaux de l’établissement ainsi que par mention sur le contrat de prise en chargeLes droits d’accès et de rectification s’exercent auprès de l’association Office Social, 45 rue d’Isle – 02100 Saint-Quentin.  Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes. 
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement respecte les préconisations de la Commisison notamment en ce qui concerne la complexité des mots de passe utilisés.Le traitement n’est accessible que sur le réseau interne privé de l’organisme, ce qui offre une garantie quant à la sécurité des données y transitant.Ces mesures de sécurité apparaissent satisfaisantes.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée maximale de deux ans à compter de la fin de la relation contractuelle. A l’issue de cette durée de conservation, les données sont archivées (séparation des données physiques avec un accès limité à un nombre restreint de personnes habilitées). Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’Office Social de Saint-Quentin à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1600269) 
La Commission nationale de l’informatique et des libertés, 
Saisie par la société AIRBUS OPERATIONS SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’une main-courante d’incidents de sécurité et la gestion du pré-contentieux et du contentieux ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société AIRBUS OPERATIONS SAS, filiale de la société ARIBUS SAS.
Sur la finalité
Les finalités du présent traitement sont :
la gestion d’une main-courante d’incidents de sécurité survenus au sein de la société ;
la gestion du précontentieux et du contentieux relatifs aux infractions commises dans l’enceinte de la société ; 
la gestion d’une source documentaire (informations/consignes à respecter par les officiers de sécurité/sûreté).
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. 
Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté. 
Sur les données traitées
Les données collectées sont relatives : 
à l’identification :
des personnes impliquées : nom, prénom, adresse, date et lieu de naissance, numéro, nature, date et organisme de délivrance de la pièce d’identité (facultatif), nom, adresse et titre des représentants légaux des mineurs le cas échéant ;
des officiers de sécurité concernés : nom, prénom, matricule, signature ;
des témoins : identification et témoignages ;
aux incidents constatés : description, localisation, date et heure ;
aux suites données aux incidents : saisine du Parquet, classement sans suite, poursuites, condamnation.
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a déclaré non conforme à la Constitution l’article 9-3° qui permettait à une personne morale de droit privé, mandatée par d’autres personnes morales estimant avoir été victimes ou être susceptibles d’être victimes d’agissements passibles de sanctions pénales, de rassembler des données portant sur des infractions, condamnations ou mesures de sûreté, au motif de son caractère trop général et du manque de précision sur les garanties devant encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a précisé que cette annulation ne saurait être interprétée comme « privant d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne physique ou morale s’agissant des infractions dont elle a été victime ». 
Cette réserve d’interprétation était indispensable pour ne pas priver de base légale les traitements légitimement mis en œuvre pour assurer le suivi des dossiers contentieux relatifs à des infractions. Elle permet à toute personne de constituer, pour les besoins de l’exercice de son droit au recours, des fichiers de pré-contentieux.
En outre, les zones de commentaires libres ne portent que sur des actes et des faits objectifs et ne font apparaître aucune donnée sensible au sens de l’article 8 de la loi du 6 janvier 1978 modifiée.
La Commission considère ainsi que les données traitées sont pertinentes au regard de la finalité poursuivie.
Elle rappelle, par ailleurs, que les officiers de sécurité ne sauraient se substituer aux enquêteurs et qu’ils ne peuvent donc procéder à aucun contrôle d’identité des personnes, ni procéder à des auditions ou interrogatoires, ni exercer aucune mesure de contrainte sur les individus.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités :
de la direction de l’établissement (au niveau central et décentralisé) ;
du département sécurité/sûreté de l’établissement ;
du service chargé de la gestion du contentieux du groupe.
Chaque site n’a accès qu’aux incidents le concernant, à l’exception des administrateurs de l’outil qui ont accès à l’ensemble des données.
Les données relatives aux suites données aux incidents constatés ne sont pas intégrées à la main-courante et ne sont donc accessibles qu’aux personnels du service chargé de la gestion du contentieux du groupe.
La liste de ces destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un panneau d’affichage situé sur les comptoirs des postes d’accueil et dans les règles internes pour les salariés. Les droits d’accès et de rectification s’exercent auprès du département sécurité/sûreté de la société AIRBUS OPERATIONS SAS, 316 route de Bayonne – 31300 TOULOUSE.  La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d’un niveau de complexité suffisant.Le traitement est accessible uniquement sur l’intranet du responsable de traitement, et que des mesures de chiffrement des données échangées sont mises en place afin d’apporter un niveau de protection supplémentaire.Des mécanismes de gestion des habilitations permettent de limiter le périmètre des données auxquelles les utilisateurs peuvent accéder.Enfin, des mesures de traçabilité permettent de conserver une trace des opérations effectuées dans le traitement pendant une durée de 5 ans.Ces mesures de sécurité sont conformes aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant les durées suivantes ; 
En l’absence de saisine du parquet ou d'un commissariat : 5 ans ;
En cas de classement sans suite : conservation pendant le délai de l'action publique ;
En cas d’engagement de poursuites : conservation jusqu'à la fin de la procédure judiciaire. 
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, AIRBUS OPERATIONS SAS à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1600250) 
La Commission nationale de l’informatique et des libertés, 
Saisie par la société AIRBUS SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion d’une main-courante d’incidents de sécurité et la gestion du pré-contentieux et du contentieux,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société AIRBUS SAS, filiale du groupe EADS.
Sur la finalité
Les finalités du présent traitement sont :
la gestion d’une main-courante d’incidents de sécurité survenus au sein de la société ;
la gestion du précontentieux et du contentieux relatifs aux infractions commises dans l’enceinte de la société ; 
la gestion d’une source documentaire (informations/consignes à respecter par les officiers de sécurité/sûreté).
La Commission estime que les finalités poursuivies sont déterminées, explicites et légitimes. 
Par ailleurs, la Commission considère qu’il y a lieu de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté. 
Sur les données traitées
Les données collectées sont relatives : 
à l’identification :
des personnes impliquées : nom, prénom, adresse, date et lieu de naissance, numéro, nature, date et organisme de délivrance de la pièce d’identité (facultatif), nom, adresse et titre des représentants légaux des mineurs le cas échéant ;
des officiers de sécurité concernés : nom, prénom, matricule, signature ;
des témoins : identification et témoignages ;
aux incidents constatés : description, localisation, date et heure ;
aux suites données aux incidents : saisine du Parquet, classement sans suite, poursuites, condamnation.
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un panneau d’affichage situé sur les comptoirs des postes d’accueil et dans les règles internes pour les salariés. Les droits d’accès et de rectification s’exercent auprès du département sécurité/sûreté de la société AIRBUS SAS, 1 rond point Maurice Bellonte – 31707 BLAGNAC.  La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d’un niveau de complexité suffisant.Le traitement est accessible uniquement sur l’intranet du responsable de traitement, et que des mesures de chiffrement des données échangées sont mises en place afin d’apporter un niveau de protection supplémentaire.Des mécanismes de gestion des habilitations permettent de limiter le périmètre des données auxquelles les utilisateurs peuvent accéder.Enfin, des mesures de traçabilité permettent de conserver une trace des opérations effectuées dans le traitement pendant une durée de 5 ans.Ces mesures de sécurité sont conformes aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant les durées suivantes : 
En l’absence de saisine du parquet ou d'un commissariat : 5 ans ;
(Saisine n°12016950) 
La Commission nationale de l’informatique et des libertés, 
Saisie par BNP Paribas Securities Services, le 6 avril 2012, d’une demande de délivrance de label concernant sa formation intitulée « Conformité-Protection des données personnelles »;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel 
Vu le dossier et ses compléments ;