AgentPublic/cnil huggingface dataset:
prévoit que  ces données nominatives ne peuvent être consultées que par les agents chargés de la mise en œuvre de ce recueil et de celle du plan d'alerte et d'urgence visé à l'article L. 116-3 . L'article R. 121-7 du même code précise que  le maire assure la conservation des dossiers des demandeurs et prend toutes les précautions utiles pour préserver la confidentialité et la sécurité des renseignements collectés. Seules les personnes nommément désignées par le maire sont habilitées à enregistrer, traiter, conserver et modifier les données du registre nominatif. Les personnes concourant à la collecte des informations, à la constitution, à l'enregistrement et à la mise à jour du registre nominatif, ainsi que toutes celles ayant accès aux données contenues dans ce registre sont tenues au secret professionnel dans les conditions prévues aux articles 226-13, 226-14 et 226-31 du code pénal .
Dans l'hypothèse d'un SIG mutualisé, régional, départemental ou intercommunal, les collectivités ou groupements de collectivités n'ont communication et accès qu'aux informations concernant leur territoire et relevant de leur compétence. Le responsable du SIG mutualisé garantit l'étanchéité des données de chaque collectivité.2°) Dans la limite de leurs attributions respectives et pour l'exercice de leur mission dans le cadre des finalités précitées, sont seuls destinataires des informations nécessaires à l'accomplissement de leurs missions, sans accès à l'application, les personnes suivantes :- les agents des différents organismes extérieurs consultés dans le cadre de l'instruction des permis de construire ;- les agents de services déconcentrés des ministères en charge de l'Agriculture, de l'Aménagement du territoire, de l'Énergie, de l'Écologie, du Développement durable, des Transports, du Logement et du Tourisme ;- les agents de la Direction des Finances publiques ;- les agents de la collectivité locale, dès lors qu'elle a transféré la compétence objet du traitement à un groupement, ou tout organisme de gestion responsable du traitement ;- le procureur de la République territorialement compétent pour les informations relatives aux infractions d'urbanisme et d'environnement.3°) La réutilisation des informations d'un SIG contenant des données à caractère personnel est régie par l'article 13 de la loi n° 78-753 du 17 juillet 1978 dite  loi Cada  (anonymisation ou consentement
des personnes) et soumise à formalités préalables auprès de la Commission nationale de l'informatique et des libertés.
Article 6. Durée de conservationToute base de données géographiques, est mise à jour régulièrement, et au minimum chaque année.Sauf dispositions législatives ou réglementaires contraires, seule la version de l'année précédente peut être conservée en base d'exploitation.Le responsable du Système d'Information Géographique (SIG) peut mettre en œuvre, à des fins de statistiques, de suivi de cohortes et d'analyse historique de l'évolution des territoires, sur un délai plus long, une base  infocentre  spécifique, constituée de données agrégées, et ne permettant pas l'identification directe ou indirecte des personnes. Cet infocentre sera enrichi chaque année par importation de données du SIG et des applications qui lui sont interconnectées.Comme indiqué à l'article 9 de la présente délibération, la matrice cadastrale et notamment son archivage relève de la dispense de déclaration n°16.La Commission rappelle que les traitements à finalités différentes, interconnectés ou internes au SIG et déclarés à la CNIL, doivent notamment préciser la durée de conservation des données.Dans l'hypothèse où les autres informations ne sont pas enregistrées dans les applications métiers déclarées, elles peuvent être conservées dans le SIG pour une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées.Au-delà de cette durée, le responsable du traitement doit prévoir un archivage des informations sur un support distinct.
Article 7. Recours à un prestataireLa réalisation des études mentionnées à l'article 1er peut être confiée par le responsable du traitement à un tiers prestataire de service.Les données pertinentes pour réaliser une prestation sous-traitée peuvent être accédées par le prestataire sur habilitation spéciale ou lui être transmises par le responsable du traitement sous forme chiffrée, et dans les conditions prévues par une convention conforme au Référentiel Général de Sécurité (RGS) (Décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005, relatif à la sécurité des informations échangées par voie électronique).La convention signée avec le prestataire doit notamment définir les opérations autorisées à partir des données à caractère personnel auxquelles il a accès ou qui lui sont transmises ainsi que les engagements pris pour garantir leur sécurité et leur confidentialité, et souligner en particulier l'interdiction d'utiliser les données à d'autres fins que celles faisant l'objet de la convention.Le prestataire de service doit procéder à la destruction ou à la restitution de tous les fichiers manuels ou informatisés, contenant les informations qui lui ont été transmises et qu'il a enrichies, dès l'achèvement de son contrat.
Article 8. Mesures de sécuritéDes mesures adéquates doivent être mises en œuvre et contrôlées afin de réduire les risques liés à l'accès illégitime, à la modification non désirée, et à la disparition des informations traitées. Des processus doivent être mis en place pour permettre aux personnes concernées d'exercer leurs droits. L'objectif consiste à empêcher toute utilisation détournée ou frauduleuse de ces informations, notamment par des tiers non autorisés, et préserver l'intégrité des données. A ce titre, les mesures de sécurité mises en place pour permettre la consultation sur un site internet ouvert au grand public doivent interdire le téléchargement des cartes affichant des données à caractère personnel issues du SIG.Les personnes habilitées, visées au 1° de l'article 5, peuvent bénéficier d'un accès direct et permanent aux données du traitement. Cet accès est contrôlé au moyen d'un identifiant et d'un mot de passe individuels conformes aux recommandations de la CNIL et du Référentiel Général de Sécurité, ou par tout autre moyen d'authentification au moins équivalent.Lorsque des données sont échangées en masse sur des supports physiques, leur confidentialité doit impérativement être protégée par des mécanismes de chiffrement conformes au Référentiel Général de Sécurité. Ces échanges doivent faire l'objet des formalités préalables prévues par la loi  Informatique et Libertés .Lorsque l'accès au traitement s'effectue au travers d'un réseau non sécurisé, les données à
caractère personnel transmises doivent être chiffrées lors de leur transport, afin d'en garantir la confidentialité. Lorsque ce chiffrement est assuré par un certificat électronique, celui-ci doit être généré et manipulé selon les modalités définies au Référentiel Général de Sécurité.Enfin, tous les accès aux données à caractère personnel doivent être tracés dans un journal de connexion, qui doit être conservé 6 mois et être régulièrement analysé, afin de détecter toute tentative d'accès illégitime aux données.
Article 9. Exclusions du champ de l'autorisation uniqueLes traitements mis en œuvre par les collectivités, leurs groupements et tout organisme en charge d'une mission de service public se limitant à la consultation de la matrice cadastrale et à l'édition de relevés cadastraux, sans possibilité d'enrichissement ni de retraitement des données, et notamment l'utilisation des CD-ROM  Visu-DGFiP , ne relèvent pas de la présente décision d'autorisation (cf. norme simplifiée n°44 modifiée en dispense de déclaration).Tout autre traitement de données à caractère personnel mis en œuvre à partir de données géographiques, comportant ou non un SIG, ne correspondant pas en tout point à la présente décision, notamment au regard de ses finalités, destinataires, ou catégories des données traitées, devra faire l'objet d'une demande d'autorisation distincte.
Article 10.La délibération n° 2006-257 du 5 décembre 2006 portant autorisation unique de traitements de données à caractère personnel comportant un SIG mis en œuvre par les collectivités locales ou leurs groupements est abrogée et remplacée par la présente délibération.
Article 11.La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents MM. Jean-Marie COTTERET, Jean-François CARREZ et Claude DOMEIZEL, membres ; 
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; 
Vu la décision n°2011-004 du 19 mai 2011 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure l'Union Régionale des Syndicats X ;
Vu la décision n° 2011-269C du 12 octobre 2011 de la Présidente de la Commission nationale de l'informatique et des libertés de faire procéder à une mission de vérification auprès de l'Union Régionale des Syndicats X ; 
Vu la plainte enregistrée le 9 août 2010 auprès de la Commission nationale de l'informatique et des libertés sous la référence n°10018855 ; 
Vu le rapport de M. Bernard PEYRAT, commissaire rapporteur, notifié par lettre recommandée avec accusé de réception à l'Union Régionale des Syndicats X, le 12 décembre 2011, joint au courrier de convocation à la séance de la formation restreinte du 19 janvier 2012 ; 
Vu le courrier du Secrétaire général de la Commission, en date du 22 décembre 2011, notifié à l'Union Régionale des Syndicats X par lettre recommandée avec accusé de réception, informant l'organisme du report de l'audience du 19 janvier 2012 à 15 heures 30 au 26 janvier 2012 à 15 heures ; 
Vu les autres pièces du dossier ; 
Ayant entendu, lors des réunions de la formation restreinte du 26 janvier 2012 : - M. Bernard PEYRAT, Commissaire, en son rapport ;
- Mme Catherine POZZO DI BORGO, Commissaire du Gouvernement adjointe, en ses observations ; Aucun représentant de l'Union Syndicale mise en cause ne s'étant présenté à l'audience, ni n'ayant fourni d'observations en défense ;
A adopté la décision suivante : 
I. FAITS ET PROCEDURE
Le 9 août 2010, la Commission nationale de l'informatique et des libertés (ci-après la CNIL ou la Commission) a été saisie d'une plainte émanant de Madame X, salariée de l'Université, relative aux difficultés rencontrées dans l'exercice de son droit d'opposition auprès du Syndicat X. 
Cette plainte était consécutive à l'envoi de plusieurs courriels de prospection syndicale non sollicités sur son adresse de messagerie électronique professionnelle. Plusieurs demandes d'opposition exprimées par la plaignante auprès du syndicat étant restées sans réponse, celle-ci a saisi la Commission par courrier en date du 7 août 2010. 
Par courrier en date du 1er octobre 2010, le service des plaintes de la CNIL a demandé au syndicat de préciser les moyens par lesquels il a pris connaissance de l'adresse de messagerie électronique de la plaignante et de confirmer la radiation de cette dernière de ses listes de destinataires de courriels. A défaut de réponse, un premier courrier de relance a été adressé par lettre recommandée du 20 octobre 2010, reçue par le syndicat le 22 octobre, puis un deuxième courrier a été adressé par lettre recommandée le 24 novembre 2010, reçu le 29 novembre. Le syndicat n'a pas répondu à ces courriers. 
Au vu de ces faits, le Président de la CNIL a mis en demeure le syndicat, par sa décision n° 2011-004 du 19 mai 2011, dans un délai d'un mois à compter de sa notification, de :
- préciser les moyens par lesquels il a pris connaissance de l'adresse électronique des personnels de l'Université de Lille 1 et veiller à ne pas collecter des données à caractère personnel de manière déloyale ou illicite, en particulier ne pas collecter d'adresse électronique à des fins de prospection syndicale à l'insu des personnes concernées ;
- préciser les raisons pour lesquelles le droit d'opposition de la plaignante n'a été pris en compte que tardivement ;
- prendre toute mesure de nature à garantir qu'il soit tenu compte, de manière immédiate et systématique, du droit d'opposition exercé par toute personne concernée en application de l'article 38 de la loi du 6 janvier 1978 ;
- indiquer les raisons pour lesquelles les courriers de services de la Commission des 1er octobre, 20 octobre et 24 novembre 2010 sont restés sans réponse ;
- justifier que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti. 
Cette mise en demeure, adressée en lettre recommandée avec accusé de réception le 27 mai 2011, a été reçue par le syndicat le 6 juin 2011. 
Ni la mise en demeure, ni la relance adressée également par lettre recommandée avec accusé de réception le 29 août 2011 et reçue le 30 août, n'ont fait l'objet de réponse.
Au vu de ces faits, la Présidente de la Commission, par décision n° 2011-269C du 12 octobre 2011, a décidé de faire procéder à une mission de vérification auprès du syndicat. Son secrétaire général a donc été convoqué à une audition dans les locaux de la Commission par courrier du 13 octobre 2011. Celui-ci n'ayant pas déféré à la convocation ni n'ayant fait connaître à la Commission le motif de son absence, un procès-verbal de carence a été rédigé. 
Ce procès-verbal de carence a été notifié au représentant du syndicat par courrier recommandé avec accusé de réception. Le courrier de la Commission précisait qu'en l'absence de réponse, sous 15 jours, à ses précédents courriers en date des 1er octobre 2010, 20 octobre 2010, 24 novembre 2010, 27 mai 2011, 29 août 2011, 13 octobre 2011 et 27 octobre 2011, la Présidente désignerait un rapporteur et que la formation contentieuse de la CNIL pourrait envisager l'éventuel prononcé d'une sanction à son encontre. 
Copies du procès-verbal de carence ainsi que de ce courrier ont par ailleurs été adressées au secrétaire général de Y, organisme duquel dépend le syndicat, par lettres recommandées avec accusés de réception. 
Aucun des courriers susmentionnés n'a fait l'objet de réponse.
Sur la foi de ces constats, la Présidente de la Commission a désigné M. Bernard PEYRAT, Commissaire, membre de la CNIL, en qualité de rapporteur, afin d'engager à l'encontre de l'organisme une procédure fondée sur le I de l'article 45 de la loi du 6 janvier 1978 modifiée. 
A l'issue de son instruction, le rapporteur a considéré que l'organisme mis en cause avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée. En conséquence, un rapport a été notifié à ce dernier par lettre recommandée avec accusé de réception, le 12 décembre 2011, l'informant que le rapporteur sollicitait de la formation restreinte de la CNIL qu'elle prononce à son encontre une sanction pécuniaire publique de 5000 euros. 
II. MOTIFS DE LA DECISION
A) Sur les manquements à l'obligation de procéder à une collecte loyale des données et à l'obligation de respecter le droit d'opposition des personnes
- Le 1° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 dispose que les données à caractère personnel sont collectées de manière loyale et licite.
Par ailleurs, l'article 38 de la loi du 6 janvier 1978 modifiée prévoit que toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur (...). 
- Il est établi que le syndicat a fait usage, à des fins de prospection syndicale, d'adresses de messageries électroniques professionnelles. Celles-ci constituent des données à caractère personnel au sens de la loi du 6 janvier 1978 modifiée, dès lors qu'elles contiennent des informations relatives à des personnes physiques identifiées ou qui peuvent être identifiées au sens de l'article 2 alinéa 2 de la loi précitée. 
- Sur le fond, en premier lieu, la formation restreinte constate qu'il ressort des termes de la plainte que l'intéressée n'a jamais sollicité d'envois de messages de prospection syndicale sur son adresse des messagerie professionnelle et qu'elle n'a jamais été informée préalablement à cette prospection. Elle considère, dès lors, qu'elle ne peut écarter le grief de collecte déloyale formulé à l'encontre du syndicat.
- En second lieu, il est avéré que les demandes de la plaignante relatives à l'exercice de son droit d'opposition n'ont pas été immédiatement prises en compte par l'Union Régionale des Syndicats X. Ce n'est qu'après plusieurs demandes formulées en ce sens auprès du syndicat et après saisine la CNIL au début du mois d'août 2010 que la prospection a cessé. 
Ces faits caractérisent dès lors un manquement à l'obligation d'assurer aux destinataires des messages de prospection un droit d'opposition effectif, contraire aux exigences posées par l'article 38, susvisé. 
B) Sur le manquement à l'obligation de répondre aux demandes de la CNIL
En application des dispositions de l'article 21 alinéa 2 de la loi n° 78-17 du 6 janvier 1978 modifiée, les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche. 
Or, il ressort des faits constatés que le syndicat s'est abstenu de répondre aux trois courriers lui ayant été adressés par les services de la Commission les 1er octobre, 20 octobre et 24 novembre 2010 dans le cadre de l'instruction de la plainte susvisée.
Le syndicat n'a pas davantage apporté de réponse à la mise en demeure qui lui a été adressée par la Présidente de la CNIL le 27 mai 2011. 
Il n'a pas non plus réagi au courrier de relance qui lui a été envoyé le 29 août 2011. 
De même, le responsable du syndicat, dûment convoqué pour une audition dans les locaux de la Commission, n'a pas déféré à cette convocation sans faire connaître les motifs de son absence. Le secrétaire général de Y, n'a pas davantage répondu dans le délai qui lui était imparti dans le courrier que la Commission lui a envoyé le 17 novembre 2011. 
Enfin, la formation restreinte constate que le syndicat n'a présenté de mémoire en défense suite à l'envoi du rapport de sanction et ne s'est pas présenté ni ne s'est fait représenter lors de l'audience de jugement du 26 janvier 2012. 
L'ensemble de ces courriers de convocation et de demandes d'information ayant tous été envoyés par lettres recommandés avec accusés de réception, ceux-ci étant tous revenus signés à la CNIL, la formation restreinte ne peut que juger que le syndicat a fait preuve d'une réelle désinvolture, voire d'une manifeste mauvaise foi à l'égard de la Commission. 
- Sur les manquements constatés
Au vu de ce qui précède, la formation restreinte constate que l'Union Régionale des Syndicats X est responsable de trois manquements à la loi du 6 janvier 1978 modifiée. Celle-ci n'a donc satisfait à aucune des exigences posées dans la mise en demeure du 19 mai 2001, précitée.
Dans ces conditions, la formation restreinte estime qu'il y a lieu de prononcer à son encontre une sanction pécuniaire de 5000 (cinq mille) euros. 
- Sur la publicité de la décision
Compte tenu de l'abstention délibérée du syndicat de répondre aux différentes demandes, convocations et injonctions de la CNIL, la formation restreinte décide de rendre sa délibération publique. 
PAR CES MOTIFS 
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : 
- De prononcer une sanction pécuniaire de 5000 euros (cinq mille euros) à l'encontre de l'Union Régionale des Syndicats X ; 
- De rendre publique sa décision sur le site internet de la CNIL et sur le site internet Légifrance. 
La Présidente 
Claire DAVAL
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 modifiée du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11, 2°, f, 19, 20 et 44 ;
Vu la loi n°95-73 modifiée du 21 janvier 1995 d'orientation et de programmation relative à la sécurité, notamment son article 10 ;
Vu le décret n° 2005-1309 modifié du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 61 ;
Vu la délibération n° 2011-327 du 18 octobre 2011 habilitant des agents de la CNIL à procéder à des missions de vérification sur place ;
Après avoir entendu M. Emmanuel de GIVRY, vice-président délégué, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Décide :
Article 1er : Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 et à l'article 10 de la loi du 21 janvier 1995 :
Mme Maryline ABIVEN, chef du service du droit d'accès indirect à la direction des relations avec les usagers et du contrôle ;Mme Alexandra BLANCHET, attachée au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;Mme Coraline BORIE, attachée au service de la gestion des sanctions à la direction des relations avec les usagers et du contrôle ;Mme Anne-Sophie CASAL, attachée au service des plaintes à la direction des relations avec les usagers et du contrôle ;Monsieur Geoffrey DELCROIX, chargé des études prospectives à la direction des études, de l'innovation et de la prospective ;M. Edouard GEFFRAY, directeur des affaires juridiques, internationales et de l'expertise ;Mme Amandine JAMBERT, ingénieur expert au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;Mme Rabia OUADDAH, attachée au service des plaintes à la direction des relations avec les usagers et du contrôle ;M. Stéphane PETITCOLAS, ingénieur expert au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;
Article 2 : Sont supprimés, à l'article 1er de la délibération n° 2011-327 du 18 octobre 2011 habilitant des agents de la CNIL à procéder à des missions de vérification sur place, les noms des personnes suivantes :