AgentPublic/cnil huggingface dataset:
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 12 février 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2015-005 du 2 février 2015 de la Présidente de la Commission mettant en demeure X et Y.
Vu le rapport remis par la CNIL au Premier ministre le 20 janvier 2009 présentant les conclusions du contrôle du système de traitement des infractions constatées (STIC) ;
Vu le rapport adopté par la CNIL le 13 juin 2013 présentant les conclusions du contrôle des fichiers d’antécédents de X. 
A adopté la délibération suivante :  
Par décision du 2 février 2015, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure X, sis […], et Y, sis […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi. 
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision. 
Le bureau a été réuni à cette fin le 12 février 2015. 
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure se justifie par les conséquences négatives sur les personnes concernées pouvant résulter du non traitement, dans les délais légaux par X et Y, des demandes de droit d’accès indirect introduites auprès de la CNIL et relatives au fichier TAJ (notamment refus d’agréments et pertes d’emplois).  
Le bureau considère que la publicité de la mise en demeure a vocation à appeler l’attention de X et Y sur le nombre de demandes d’accès indirect relatives à ce fichier qui sont en attente de traitement.
Actuellement, 1979 demandes, pour lesquelles est dépassé le délai de traitement de 6 mois prévu à l’article 87-1 du décret n° 2005-1309 du 20 octobre 2005 modifié, n’ont toujours pas pu faire l’objet de vérifications par un magistrat de la CNIL, et ce faute de saisine par les services de la police nationale des parquets ou d’obtention des réponses de ces derniers, notamment sur les suites judiciaires intervenues (dont 265 remontent à 2012 et 972 à 2013).  
Le bureau considère également que la mesure de publicité se fonde sur la nécessité d’informer les personnes concernées de la procédure applicable aux demandes d’accès indirect et donc de ce que les délais de traitement de ces demandes résultent du non-respect par X et Y des textes applicables en l’espèce. 
En effet, faute de réponse des services de la police nationale et des parquets, la CNIL n’est pas en mesure de traiter les demandes d’accès indirect qu’elle reçoit dans le délai réglementaire de 6 mois. Aujourd’hui, les demandes des personnes mises en cause par la police nationale sont en moyenne traitées dans un délai de 12 à 18 mois. 
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° 2015-005 de la Présidente de la CNIL mettant en demeure X et Y.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si les organismes concernés se conforment en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique. 
La Présidente 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 17 mars 2014 portant autorisation à titre expérimental d'un traitement de données à caractère personnel dénommé  Fichier des objets et des véhicules signalés  (FOVeS) ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la convention d'application de l'accord de Schengen du 14 juin 1985 entre les gouvernements des Etats de l'Union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes, signée à Schengen le 19 juin 1990 et publiée par le décret n° 95-304 du 21 mars 1995 ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la position commune 2005-69 JAI du Conseil du 24 janvier 2005 relative à l'échange de certaines données avec Interpol ;Vu le code de la sécurité intérieure, notamment son article L. 224-1 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I ;Vu la loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte
contre le terrorisme ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2015-26 du 14 janvier 2015 relatif à l'interdiction de sortie du territoire des ressortissants français projetant de participer à des activités terroristes à l'étranger ;Vu l'arrêté du 17 mars 2014 portant autorisation à titre expérimental d'un traitement automatisé de données à caractère personnel dénommé  Fichier des objets et des véhicules signalés  (FOVeS) ;Vu la délibération n° 2013-357 du 14 novembre 2013 portant avis sur un projet d'arrêté portant autorisation, à titre expérimental, d'un traitement automatisé de données à caractère personnel dénommé  Fichier des objets et des véhicules signalés  (FOVeS) ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :La commission a été saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 17 mars 2014 susvisé relatif au  Fichier des objets et véhicules signalés  (FOVeS), afin, d'une part, de modifier la liste des personnes pouvant accéder à ce traitement et, d'autre part, y inscrire les données issues des décisions d'invalidation résultant du prononcé de la mesure d'interdiction de sortie du territoire prévue à l'article 1er de la loi du 13 novembre 2014.Ce traitement expérimental, sur lequel la commission s'est prononcée par délibération du 14 novembre 2013, doit se substituer au fichier des véhicules volés (FVV). Il permet aux services de police et de gendarmerie de disposer d'une base unique et homogène des signalements, qu'il s'agisse des véhicules ou objets volés, placés sous surveillance ou perdus. II offre en outre aux enquêteurs une interface ergonomique unique de contrôle de l'état d'un objet identifiable (volé, surveillé, perdu), que le signalement provienne d'une autorité française ou d'un Etat partie aux accords de Schengen.Le traitement FOVeS relève dès lors des dispositions de l'article 26-I de la loi du 6 janvier 1978 modifiée et les modifications apportées à l'arrêté du 17 mars 2014 nécessitent un avis motivé et publié de la commission.
Sur la nature des données traitées :L'article 1er du projet d'arrêté vise à permettre d'enregistrer dans le FOVeS les données à caractère personnel et les informations issues des décisions d'invalidation de documents prononcées par les autorités administratives.Cette modification vise à tenir compte des apports de la loi du 13 novembre 2014 susvisée et notamment de la création du dispositif d'interdiction de sortie du territoire désormais prévu à l'article L. 224-1 du code de la sécurité intérieure (CSI). Cet article crée ainsi la possibilité pour le ministre de l'intérieur de prononcer, pour une durée maximale de six mois à compter de sa notification, une interdiction de sortie du territoire à l'encontre de tout ressortissant national à l'égard duquel il existe des raisons sérieuses de penser qu'il projette des déplacements à l'étranger ayant pour objet la participation à des activités terroristes ou des déplacements à l'étranger sur un théâtre d'opérations de groupements terroristes, dans des conditions susceptibles de le conduire à porter atteinte à la sécurité publique lors de son retour sur le territoire français.Cet article prévoit que l'interdiction de sortie du territoire emporte, dès son prononcé et à titre conservatoire, l'invalidation du passeport et de la carte nationale d'identité des personnes concernées ou fait obstacle à la délivrance d'un tel document.Dès lors, la commission observe que l'enregistrement des données issues des décisions d'invalidation de
documents dans le traitement FOVeS est de nature à permettre l'application des mesures prévues par la loi du 13 novembre 2014.Par ailleurs, comme elle l'avait indiqué dans sa délibération du 14 novembre 2013 susvisée, la commission rappelle que, conformément aux finalités assignées à ce traitement, dédié aux objets et non aux personnes physiques, les données collectées devront se limiter aux objets concernés (nature, numéro de série, etc.) et, le cas échéant, à leur titulaire, ainsi qu'à la procédure dont ils sont l'objet (interdiction administrative de sortie du territoire).Dans ces conditions, la commission considère que ces nouvelles données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le FOVeS.
Sur les destinataires des données, la procédure d'inscription et de mise à jour :L'article 4 de l'arrêté actuellement en vigueur liste les destinataires des données enregistrées dans le traitement, en distinguant les personnels bénéficiant d'un accès direct aux données des personnels à qui ces informations pourront être communiquées.En premier lieu, les articles 2 et 3 du projet d'arrêté visent à permettre aux agents de la direction des libertés publiques et des affaires juridiques (DLPAJ) du ministère de l'intérieur d'accéder directement au FOVeS aux seules fins d'inscription dans le traitement des données issues des décisions d'invalidation de documents prononcées par les autorités administratives conformément à l'article L. 224-1 du CSI.La commission relève que les agents accédant au traitement font l'objet d'une désignation individuelle et d'une habilitation particulière par leur directeur. Elle rappelle que toutes les mesures nécessaires doivent en outre être prises afin d'assurer une traçabilité effective des inscriptions et des accès de ces agents.En deuxième lieu, l'article 4 du projet d'arrêté vise à permettre la mise à jour, par la DLPAJ, des informations contenues dans le FOVeS. Compte tenu de ce qui précède. cette mise à jour ne portera que sur les informations relatives aux documents invalidés par décision d'une autorité administrative. La commission rappelle que ces données doivent nécessairement être mises à jour afin de prendre en compte, dans les meilleurs
délais. tout changement dans l'état de l'objet inscrit au FOVeS.
Sur la transmission de certaines informations vers le système d'information Schengen de deuxième génération (SIS II) :La commission relève qu'est prévue la transmission automatique des données issues des décisions d'invalidation de titres d'identité prononcées en application de l'article L. 224-1 du CSI vers le traitement SIS II.Elle rappelle que cette transmission devra s'effectuer dans des conditions permettant de garantir la sécurité et la confidentialité des données transmises, ainsi que dans le respect des accords applicables en matière de coopération internationale.A titre général, la commission demande que le rapport qui lui sera adressé au terme des deux années d'expérimentation du traitement FOVeS, conformément à l'article 9 de l'arrêté du 17 mars 2014, tienne compte des présentes modifications apportées à ce traitement.
La présidente,
I. Falque-Pierrotin
(Demande d’autorisation n°1801334)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Richemont Holding France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société Richemont Holding France, située 35, rue Boissy d’Anglas à Paris (75008), en qualité de responsable de traitement pour l’ensemble des sociétés françaises du groupe RICHEMONT, expert dans les domaines de la joaillerie, de la maroquinerie, et de l’horlogerie de luxe.En effet, la Commission constate qu’elle détermine seule les finalités et les moyens du traitement.
Sur la finalité
La société Richemont Holding France a saisi la Commission d’une demande d’autorisation préalablement à la mise en œuvre d’un dispositif d’alerte professionnelle permettant aux salariés de signaler des manquements au « code de déontologie du groupe ».
La Commission rappelle qu’elle a adopté le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (autorisation unique n°004 modifiée le 30 janvier 2014).
Elle observe que le traitement présenté par la société Richemont Holding France répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au champ d’application. 
En effet, la société Richemont Holding France souhaite inclure dans le périmètre de son dispositif des domaines non visés par celle-ci.
La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. 
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ d’application.
À cet égard, elle relève que le champ d’application du dispositif d’alerte professionnelle présenté par la société Richemont Holding France est strictement limité aux manquements au « code de déontologie du groupe », lesquels relèvent des domaines suivants :
financier, comptable, bancaire et de la lutte contre la corruption ;
pratiques anticoncurrentielles ;
lutte contre la discrimination et le harcèlement au travail ;
santé, hygiène et sécurité au travail; 
protection de l’environnement ;
respect des droits de l’Homme, tels que visés dans la Déclaration des Droits de l’Homme adoptée par l’Assemblée générale des Nations Unies le 10 décembre 1948 ;
divulgation d’informations confidentielles ; 
protection des données à caractère personnel ; 
commerce illicite des produits du groupe ; 
pratiques commerciales prohibées ou trompeuses.
si les faits concernent une entité française, les alertes peuvent être adressées au Secrétaire Général Richemont France à l’adresse mail dédiée  alerte.professionnelle@richemont.com ;
si les faits signalés sont de dimension internationale, les alertes peuvent être adressées au Directeur de l’audit interne à l’adresse mail dédiée whistle.blowing@richemont.com.
La Commission estime que la finalité du traitement envisagé est déterminée, explicite et légitime.
S’agissant des modalités de signalement, la Commission prend acte que les employés peuvent déclencher la procédure, selon la dimension des faits:
financier, comptable, bancaire et de la lutte contre la corruption ;
pratiques anticoncurrentielles ;
lutte contre la discrimination et le harcèlement au travail ;
santé, hygiène et sécurité au travail; 
protection de l’environnement ;
respect des droits de l’Homme, tels que visés dans la Déclaration des Droits de l’Homme adoptée par l’Assemblée générale des Nations Unies le 10 décembre 1948 ;
divulgation d’informations confidentielles ; 
protection des données à caractère personnel ; 
commerce illicite des produits du groupe ; 
pratiques commerciales prohibées ou trompeuses.
si les faits concernent une entité française, les alertes peuvent être adressées au Secrétaire Général Richemont France à l’adresse mail dédiée  alerte.professionnelle@richemont.com ;
si les faits signalés sont de dimension internationale, les alertes peuvent être adressées au Directeur de l’audit interne à l’adresse mail dédiée whistle.blowing@richemont.com.
Sur les données traitées
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte et éventuels témoins mentionnés ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
Elle relève que le dispositif examiné impose aux utilisateurs de s’identifier, étant précisé que l’identité de ces derniers est néanmoins traitée de manière confidentielle.
La Commission relève, par ailleurs, qu’une utilisation abusive du dispositif peut exposer son auteur à des sanctions disciplinaires.
Sur les destinataires
Les personnes habilitées à accéder à tout ou partie des données à caractère personnel du présent traitement sont le Secrétaire Général France et le Directeur de l’audit interne Richemont, en charge de la réception des alertes et de leur instruction.La Commission considère que ces personnes présentent un intérêt légitime à accéder aux données du présent traitement.Elle relève, à ce titre, qu’elles sont toutes astreintes à une obligation de confidentialité.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, via la remise d’une note explicative accompagnée du code de déontologie à l’ensemble des salariés. Ces documents sont joints au dossier d’embauche des nouveaux salariés. L’information sera également réalisée via un module de formation en ligne portant sur le dispositif, obligatoire pour l’ensemble des salariés.Les personnes mises en cause sont informées de l’existence d’une alerte à leur encontre dès l’enregistrement de données les concernant. Cette information peut éventuellement être retardée, le temps strictement nécessaire à l’adoption de mesures conservatoires, permettant de prévenir la destruction des preuves. Les droits d’accès et de rectification s’exercent directement auprès de la Direction des Ressources Humaines de la société Richemont Holding France.La Commission prend acte que les représentants du personnel des sociétés concernées ont été informés de la mise en place du dispositif.La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures sont prises par le responsable de traitement afin de garantir la sécurité et la confidentialité des données, et, notamment, empêcher que des tiers non autorisés y aient accès.La gestion des mots de passe respecte les recommandations de la Commission (mots de passe individuels composés d’au moins huit caractères des catégories alphabétique, numérique et spéciaux lesquels sont régulièrement renouvelés).Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier l’utilisateur à l’origine d’une opération.Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n° 4, à savoir :
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement. 
Enfin, elle relève que les données relatives aux alertes feront l’objet d’un transfert hors de l’Union Européenne. En effet, le Directeur de l’audit interne chargé du recueil des alertes relatives à des faits de dimension internationale est situé à Hong-Kong. La Commission constate que ce traitement garantit un niveau de protection suffisant notamment en raison des clauses contractuelles type de la Commission européenne du 27 décembre 2004 (2004/915/CE) dont il fait l’objet. 
Autorise, conformément à la présente délibération, la société Richemont Holding France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN