AgentPublic/cnil huggingface dataset:
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-04). Cette délibération a été modifiée le 14 octobre 2010 et intègre désormais dans le champ d’application de l’article 1er les pratiques anticoncurrentielles.
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par ladite autorisation, à l’exception des dispositions de l’article 1er relatives au champ d’application et au fondement juridique du dispositif. En effet, le traitement se fonde sur le respect des exigences de la Directive Européenne Solvabilité 2 (SOLVENCY II). 
Elle rappelle que le dispositif d’alerte doit être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés.
Elle rappelle en outre que le dispositif d’alerte doit respecter les principes relatifs à la protection des données à caractère personnel, et notamment les dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée aux termes desquelles les  traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives au signalement sont conservées pendant un délai qui n’excédera pas le délai de prescription applicable ;
Les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicable ;
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les données sont conservées pendant une durée limitée :
à l’identité, aux fonctions et aux coordonnées de l'émetteur de l'alerte professionnelle ; 
à l’identité aux fonctions et aux coordonnées des personnes faisant l'objet d'une alerte ; 
à l’identité, aux fonctions et aux coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
aux faits signalés ; 
aux éléments recueillis dans le cadre de la vérification des faits signalés ; 
au compte rendu des opérations de vérification ; 
aux suites données à l'alerte.
Les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai dans un système différent et sécurisé par un mot de passe ;
Lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites ou archivées par le Responsable du traitement des signalements ou ses Délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
Lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives au signalement sont conservées pendant un délai qui n’excédera pas le délai de prescription applicable ;
Les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicable ;
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Le destinataire des alertes est le service « Déontologue » d’AXA FRANCE et ses « délégataires » en nombre limité.
Pour traiter les signalements reçus, ce service pourra, lorsque cela est nécessaire, impliquer dans le cadre des opérations d’investigation nécessaires et dans la limite de leurs attributions respectives d’autres services :
la direction de l’audit
la direction de la sûreté
le manager de la direction concernée par l’alerte
la direction des ressources humaines
L’identité de l’émetteur de l’alerte et celle de la personne qui en fait l’objet sont traitées de façon confidentielle. Les personnes en charge du traitement des alertes sont soumises à une obligation de confidentialité.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée par la diffusion d’un mail général adressé à l’ensemble des collaborateurs d’AXA FRANCE. L’information est également diffusée sur l’intranet d’AXA FRANCE.Les représentants du personnel ont été dûment informés du traitement et de ses modalités de mise en œuvre.La personne éventuellement mise en cause par un signalement est informée dès l’enregistrement de ses données, après une première vérification. Des mesures conservatoires peuvent en effet être prises avant l’information de celle-ci. L’information qui lui sera fournie répondra aux exigences de la loi Informatique et Libertés (faits reprochés, destinataires de l’alerte, modalités d’exercice des droits d’accès et de rectification). Les droits d’accès et de rectification s’exercent auprès du « Déontologue » de la société AXA FRANCE, 313 Terrasses de l’Arche – 92727 Nanterre.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes. 
Sur les mesures de sécurité
Des mesures sont prises pour garantir la sécurité et la confidentialité des données.L’adresse électronique dédiée ne sera accessible que par le responsable du traitement des signalements (service « Déontologue » et ses délégataires) qui devront s’identifier avec des codes d’accès individuels. La journalisation des accès est prévue.La gestion des mots de passe respecte les recommandations de la Commission (mots de passe individuels composés d’au moins huit caractères des catégories alphabétique, numérique et spéciaux lesquels sont régulièrement renouvelés).Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération.Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Le dispositif se compose d’une adresse électronique dédiée.La Commission considère que l’obligation de s’identifier pour l’émetteur de l’alerte est de nature à limiter les risques de mise en cause abusive de l’intégrité professionnelle, voire personnelle des personnes concernées. En l’espèce, l’émetteur de l’alerte doit nécessairement s’identifier, les alertes anonymes ne sont pas acceptées. L’identité de l’émetteur de l’alerte est par ailleurs traitée de façon confidentielle.
Autorise, conformément à la présente délibération, la société AXA ASSURANCES IARD MUTUELLE à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1640423)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société AXA FRANCE IARD d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU-04), telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société AXA FRANCE IARD, rattachée au groupe AXA FRANCE, propose des contrats d’assurance vie.
Sur la finalité
La finalité du traitement est la mise en œuvre d’un dispositif d’alerte professionnelle permettant de recueillir les alertes des salariés portant sur des manquements graves dans les domaines financier, bancaire, comptable, de lutte contre la corruption, du délit d’initié et des pratiques anticoncurrentielles.
La société AXA France VIE souhaite ainsi se conformer aux  exigences de la Directive Européenne Solvabilité 2 relative à la réglementation prudentielle s’appliquant au secteur de l'assurance en particulier à l’obligation de renforcer la protection du système financier et la prévention du risque systémique.
Le champ du dispositif est strictement limité aux manquements graves qui s’appliquent aux domaines suivants :
domaines financier, bancaire et comptable
lutte contre la corruption
délit d’initié
pratiques anticoncurrentielles
Compte tenu de nature du traitement, il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ d’application et répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identité, aux fonctions et aux coordonnées de l'émetteur de l'alerte professionnelle ; 
à l’identité aux fonctions et aux coordonnées des personnes faisant l'objet d'une alerte ; 
à l’identité, aux fonctions et aux coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
aux faits signalés ; 
aux éléments recueillis dans le cadre de la vérification des faits signalés ; 
au compte rendu des opérations de vérification ; 
aux suites données à l'alerte.
les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai dans un système différent et sécurisé par un mot de passe ;
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites ou archivées par le Responsable du traitement des signalements ou ses Délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives au signalement sont conservées pendant un délai qui n’excédera pas le délai de prescription applicable ;
les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicable ;
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Les données sont conservées pendant une durée limitée :
à l’identité, aux fonctions et aux coordonnées de l'émetteur de l'alerte professionnelle ; 
à l’identité aux fonctions et aux coordonnées des personnes faisant l'objet d'une alerte ; 
à l’identité, aux fonctions et aux coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
aux faits signalés ; 
aux éléments recueillis dans le cadre de la vérification des faits signalés ; 
au compte rendu des opérations de vérification ; 
aux suites données à l'alerte.
les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai dans un système différent et sécurisé par un mot de passe ;
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites ou archivées par le Responsable du traitement des signalements ou ses Délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives au signalement sont conservées pendant un délai qui n’excédera pas le délai de prescription applicable ;
les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicable ;
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Le destinataire des alertes est le service « Déontologue » d’AXA FRANCE et ses « délégataires » en nombre limité.
Pour traiter les signalements reçus, ce service pourra, lorsque cela est nécessaire, impliquer dans le cadre des opérations d’investigation nécessaires et dans la limite de leurs attributions respectives d’autres services :
la direction de l’audit
la direction de la sûreté
le manager de la direction concernée par l’alerte
la direction des ressources humaines
L’identité de l’émetteur de l’alerte et celle de la personne qui en fait l’objet sont traitées de façon confidentielle. Les personnes en charge du traitement des alertes sont soumises à une obligation de confidentialité.
Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée par la diffusion d’un mail général adressé à l’ensemble des collaborateurs d’AXA France. L’information est également diffusée sur l’intranet d’AXA France.Les représentants du personnel ont été dûment informés du traitement et de ses modalités de mise en œuvre.La personne éventuellement mise en cause par un signalement est informée dès l’enregistrement de ses données, après une première vérification. Des mesures conservatoires peuvent en effet être prises avant l’information de celle-ci. L’information qui lui sera fournie répondra aux exigences de la loi Informatique et Libertés (faits reprochés, destinataires de l’alerte, modalités d’exercice des droits d’accès et de rectification). Les droits d’accès et de rectification s’exercent auprès du « Déontologue » de la société AXA FRANCE, 313 Terrasses de l’Arche – 92727 Nanterre.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes. 
Sur les mesures de sécurité
Des mesures sont prises pour garantir la sécurité et la confidentialité des données.L’adresse électronique dédiée ne sera accessible que par le responsable du traitement des signalements (service « Déontologue » et ses délégataires) qui devront s’identifier avec des codes d’accès individuels. La gestion des mots de passe respecte les recommandations de la Commission (mots de passe individuels composés d’au moins huit caractères des catégories alphabétique, numérique et spéciaux lesquels sont régulièrement renouvelés).Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération.Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Le dispositif se compose d’une adresse électronique dédiée.La Commission considère que l’obligation de s’identifier pour l’émetteur de l’alerte est de nature à limiter les risques de mise en cause abusive de l’intégrité professionnelle, voire personnelle des personnes concernées. En l’espèce, l’émetteur de l’alerte doit nécessairement s’identifier, les alertes anonymes ne sont pas acceptées. L’identité de l’émetteur de l’alerte est par ailleurs traitée de façon confidentielle.
Autorise, conformément à la présente délibération, la société AXA FRANCE IARD à mettre en œuvre le traitement susmentionné.
La Commission nationale de l'informatique et des libertés,Saisie par les ministères de la Défense et de la Culture agissant pour le compte des conseils départementaux, d'une demande d'autorisation concernant des traitements automatisés de données à caractère personnel ayant pour finalités de numériser, indexer et diffuser sur Internet les registres matricules du recrutement militaire des soldats ayant participé à la Première Guerre mondiale ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code du patrimoine, notamment son Livre II ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-2°), 25-I-1°), 34 et 36 ;Vu la loi n° 78-753 du 17 juillet 1978 modifiée portant diverses mesures d'amélioration des relations entre l'administration et le public ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 20 décembre 2012 instituant une dérogation générale pour la consultation des registres matricules du recrutement militaire de la Première Guerre
mondiale ;Vu la délibération n° 2012-113 de la Commission du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des informations publiques aux fins de communication et de diffusion par les services d'archives publiques (AU-029) ;Après avoir entendu M. Jean MASSOT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :La Commission a été saisie par les ministères de la Défense et de la Culture agissant pour le compte des conseils départementaux, responsables de services d'archives publics, en vue d'être autorisés à numériser, indexer et diffuser sur Internet l'ensemble des données personnelles contenues dans les registres matricules du recrutement militaire des 9 millions de soldats enrôlés par l'armée française lors de la Première Guerre mondiale.
Cette  opération registres matricules  participe au programme national des manifestations organisées pour commémorer le centenaire de la Première Guerre mondiale. En parallèle de ce  programme 1914-1918  concernant les registres matricules ouverts de 1887 à 1921, les registres matricules antérieurs à cette période peuvent également faire l'objet de traitements analogues.
Les  registres matricules  regroupent par classe d'âge et bureau de recrutement les états signalétiques et des services (ESS) de tous les hommes recensés, habituellement dans leur vingtième année, par le ministère de la guerre. Cette catégorie d'informations du secteur public revêt un intérêt historique certain, en particulier pour ce qui concerne les soldats mobilisés lors d'opérations militaires d'envergure. En leur qualité d'élément du patrimoine commun à conserver, l'intégralité des données personnelles composant ces registres matricules a donc été sélectionnée par les services d'archives publics afin d'alimenter un témoignage permanent sur ces faits historiques.
Dès lors que la finalité des traitements envisagés ne se limite pas à  assurer la conservation à long terme de documents d'archives , ces traitements sont soumis aux formalités préalables prévues au chapitre IV de la loi du 6 janvier 1978 modifiée. En application de l'alinéa 3 de l'article 36 de cette loi, les données à caractère personnel peuvent être conservées au-delà de la durée prévue au 5° de l'article 6 de la loi  Informatique et Libertés  à des fins autres qu'historiques, statistiques ou scientifiques, soit avec l'accord exprès de la personne concernée, soit avec l'autorisation de la Commission. Le recueil de l'accord exprès des personnes concernées étant difficile compte tenu de la multiplicité et de l'ancienneté des documents en cause, ces traitements relèvent de l'autorisation de la Commission conformément à la disposition précitée de l'article 36. Dans la mesure où ils sont susceptibles de comporter des données  sensibles  au sens des articles 8 et 9 de la loi  Informatique et Libertés , ces traitements relèvent précisément du régime d'autorisation prévu par l'article 25-I-1°) de la même loi.
Les caractéristiques du dispositif projeté en vue de commémorer le Centenaire n'entrent pas intégralement dans le cadre défini par la délibération n°2012-113 de la Commission du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des informations publiques aux fins de communication et de diffusion par les services d'archives publiques (AU-029). La Commission est donc saisie d'une demande d'autorisation ad hoc.
Sur la finalité des traitements :A l'occasion du Centenaire, un projet de numérisation, indexation et mise en ligne des  registres matricules  des combattants de la Grande Guerre est soutenu par l'Etat et l'ensemble des collectivités départementales avec le soutien de l'Assemblée des départements de France.
L'objectif est double : entretenir le devoir de mémoire et alimenter les analyses historiques en ouvrant aux internautes, citoyens et chercheurs, professionnels et amateurs, l'accès à une source archivistique leur restituant les parcours individuels des hommes mobilisés pour la défense de la France.
Les données contenues dans les  registres matricules  des soldats de la Première Guerre mondiale sont ainsi destinées à être traitées à des fins de diffusion massive sur Internet dans l'objectif d'alimenter les recherches historiques, scientifiques et familiales. Aucune finalité commerciale n'a été évoquée.