AgentPublic/cnil huggingface dataset:
Les données à caractère personnel enregistrées dans le présent traitement sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Au terme de cette durée, les données sont supprimées, sauf dispositions législatives ou réglementaires  contraires.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’association APEI Centre Manche, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1715734)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association pour personnes handicapées du Perche d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’accompagnement des  personnes suivies;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1° et 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Il s’agit de l’Association pour Personnes Handicapées du Perche (APHP) située au 11, rue des Grands Jardins à  Cormenon (41170), régie par la loi de 1901 et affiliée à l’Union nationale des associations de parents et amis de personnes handicapées mentales (UNAPEI). Cette association gère des établissements sociaux et médico-sociaux au sens de l’article L. 312-1 du Code de l’action sociale et des familles.
Sur la finalité
La gestion de l’accompagnement  des personnes présentant un  handicap mental permet de poursuivre les finalités suivantes : 
Recenser les besoins des personnes ; 
Améliorer l’évaluation des besoins, la prise en charge sanitaire et médico-sociale, ainsi que le suivi des personnes présentant un handicap, en permettant le partage sécurisé entre les acteurs médicaux, para-médicaux et sociaux de l’association, des informations nécessaires à une prise en charge coordonnée et adaptée aux besoins des personnes ;
Améliorer la qualité, la coordination et la continuité de la prise en charge entre tous ces intervenants, en fonction des besoins des personnes handicapées, identifiés comme prioritaires ;
Favoriser l’autonomie des personnes, par un accompagnement médico-social adapté ;
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales prévues sur le formulaire de prise en charge ainsi que dans les courriers personnalisés.La Commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état. Les droits d’accès et de rectification s’exercent auprès de l’Association pour Personnes Handicapées du Perche par courrier, fax ou courriel. La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Les données à caractère personnel enregistrées dans le présent traitement sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Au terme de cette durée, les données sont supprimées, sauf dispositions législatives ou réglementaires  contraires.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’Association pour Personnes Handicapées du Perche, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1753475)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association les Elfes d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’accompagnement des personnes suivies ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1° et 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Il s’agit de l’Association les Elfes située au 13, rue Pierre et Marie Curie à  Tours (37100), régie par la loi de 1901 et affiliée à l’Union nationale des associations de parents et amis de personnes handicapées mentales (UNAPEI). Cette association gère des établissements sociaux et médico-sociaux au sens de l’article L. 312-1 du Code de l’action sociale et des familles.
Sur la finalité
La gestion de l’accompagnement des personnes présentant un  handicap mental permet de poursuivre les finalités suivantes : 
Recenser les besoins des personnes ; 
Améliorer l’évaluation des besoins, la prise en charge sanitaire et médico-sociale, ainsi que le suivi des personnes présentant un handicap, en permettant le partage sécurisé entre les acteurs médicaux, para-médicaux et sociaux de l’association, des informations nécessaires à une prise en charge coordonnée et adaptée aux besoins des personnes ;
Améliorer la qualité, la coordination et la continuité de la prise en charge entre tous ces intervenants, en fonction des besoins des personnes handicapées, identifiés comme prioritaires ;
Favoriser l’autonomie des personnes, par un accompagnement médico-social adapté ;
Favoriser les liens affectifs et familiaux, la formation, l’emploi, l’accès aux soins et aux prestations sociales, en accompagnant les personnes handicapées ou leurs familles dans les relations et les démarches à effectuer auprès des personnes et services compétents des partenaires concernés ;
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales prévues sur le formulaire de prise en charge ainsi que dans les courriers personnalisés.La commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état. Les droits d’accès et de rectification s’exercent auprès de l’Association les Elfes par courrier, fax ou courriel. La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Les données à caractère personnel enregistrées dans le présent traitement sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Au terme de cette durée, les données sont supprimées, sauf dispositions législatives ou réglementaires  contraires.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’association les Elfes, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1653912 v2)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Bureau Veritas d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Bureau Veritas est une société spécialisée dans les tests, l'inspection et la certification (TIC). La société est présente en France, en Europe et dans le monde avec 1.330 bureaux et laboratoires, dans 140 pays.Bureau Veritas est coté à la Bourse de Paris depuis le 24 octobre 2007 et est soumis au Cadre de référence AMF sur les dispositifs de gestion des risques et de contrôle interne.
Sur la finalité
Bureau Veritas a déposé un dossier de demande d’autorisation pour la mise en place d’un dispositif d’alerte professionnelle pour l’ensemble des salariés destiné à traiter les cas de manquements graves qui s’appliquent aux domaines suivants :
comptable, financier, de lutte contre la corruption ;
pratiques anticoncurrentielles ;
 harcèlement et discrimination;
santé, hygiène et sécurité.
La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée des réclamations des salariés. 
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ d’application.
En l’espèce, Bureau Veritas estime, en raison de son activité et notamment dans sa volonté de garantir l’intégrité des certificats qu’il délivre, être potentiellement exposé aux problèmes de corruption (active et passive) d’une part, et aux manquements dans les domaines financier, et comptable qui leur sont souvent liés, d’autre part.
Par ailleurs, compte tenu de sa position sur le marché de la certification, Bureau Veritas souhaite être particulièrement attentif au respect des règles de la concurrence.
Bureau Veritas souhaite enfin veiller au respect des règles relatives à la lutte contre le harcèlement et la discrimination, ainsi que celles relatives à la sécurité, l’hygiène et la sécurité.
A cet égard, la Commission relève que le champ du dispositif d’alerte professionnelle présenté par Bureau Veritas est strictement limité aux manquements graves qui s’appliquent aux domaines comptable, financier, de lutte contre la corruption et les pratiques anticoncurrentielles, à la lutte contre le harcèlement et la discrimination, ainsi qu’aux manquements graves aux règles relatives à la sécurité, l’hygiène et la sécurité.
S’agissant des modalités de signalement, la Commission prend acte que tout salarié du Bureau Veritas peut déclencher la procédure par téléphone, via une ligne téléphonique, une adresse mail et un site internet dédiés gérés par un prestataire (Expolink Europ Ltd), ou par courrier électronique directement au Group Compliance Officer.
La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ d’application, est facultatif et répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identité, aux fonctions et aux coordonnées de l'émetteur de l'alerte professionnelle ; 
à l’identité, aux fonctions et aux coordonnées des personnes faisant l'objet d'une alerte ; 
à l’identité, aux fonctions et aux coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
aux faits signalés ; 
aux éléments recueillis dans le cadre de la vérification des faits signalés ; 
au compte rendu des opérations de vérification ; 
aux suites données à l'alerte.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur le traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour l’émetteur de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l’intégrité professionnelle, voire personnelle des personnes concernées.
En l’espèce, le dispositif implique par défaut que l’émetteur de l’alerte professionnelle s’identifie. Son identité est néanmoins traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
Sur les destinataires
Les destinataires des alertes sont le responsable groupe conformité (Group Compliance Officer) et ses équipes, ainsi que les autres Responsables conformité (Compliance Officers). La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation de confidentialité.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, via une note d’information distribuée aux salariés.Les représentants du personnel (comité d’entreprise et comité d’hygiène, de sécurité et des conditions de travail) sont dûment informés du traitement et de ses modalités de mise en œuvre dès obtention de l’autorisation par la Commission.Lors d’un signalement, la personne mise en cause est informée immédiatement des informations recueillies et de l’enregistrement de ses données.Toutefois, lorsque des mesures conservatoires sont nécessaires, notamment pour prévenir la destruction ou l’altération de preuves relatives à l’alerte, l’information de cette personne intervient après l’adoption de ces mesures.L’information qui lui sera fournie répondra aux exigences de l’article 32 de la loi. Les droits d’accès et de rectification, s’exercent auprès de la Direction Juridique à l’adresse de la société Bureau Veritas sis 61/71 Boulevard du Château-92200-Neuilly-sur-Seine.La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission rappelle que des mesures doivent être prises par le responsable de traitement afin de garantir la sécurité et la confidentialité des données, et, notamment, empêcher que des tiers non autorisés y aient accès.La gestion des mots de passe doit respecter les recommandations de la Commission (mots de passe individuels composés d’au moins huit caractères des catégories alphabétique, numérique et spéciaux lesquels sont régulièrement renouvelés).Elle souligne que le traitement doit comporter une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier l’utilisateur à l’origine d’une opération.Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n°004, à savoir :
Les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites immédiatement;
Lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
Lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives au signalement sont conservées pendant un délai qui n’excédera pas le délai de prescription applicable ;
Les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicable.
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
La Commission observe que le responsable de traitement fait appel à un prestataire extérieur situé Angleterre et le contrat conclu permet de garantir que les données qui sont communiquées dans le cadre du dispositif sont traitées conformément aux prescriptions de protection des données de la législation européenne.
Abroge la délibération n° 2014-007 du 9 janvier 2014 et autorise, conformément à la présente délibération, la société Bureau Veritas à mettre en œuvre le traitement susmentionné.
La Présidente
(Saisine N° 14000278) 
La Commission nationale de l'informatique et des libertés,
Saisie par le cabinet HAAS, le 30 décembre 2013, d’une demande de délivrance de label concernant sa formation intitulée « Management du risque Informatique et libertés dans l'univers de la relation client et du marketing  » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, président du Comité de labellisation et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit : 
Module 01 : Décryptage de la loi informatique et libertés du 6 janvier 1978 modifiée
Module 02 : Formalités préalables
Module 03 : Rôle, fonction et missions de la Cnil
Module 04 : Échanges de données
La demande de label présentée par le cabinet HAAS inclut les modules complémentaires suivants : 
la présentation de la CNIL et de ses missions ;
la présentation des formalités préalables à la mise en œuvre des traitements ;
la présentation de l’encadrement des transferts de données hors de l’Union européenne ;
la présentation du rôle du correspondant à la protection des données à caractère personnel ;
la présentation du pouvoir de contrôle a posteriori de la CNIL ;
la présentation du pouvoir de sanction de la CNIL ;
la présentation des dispositions pénales associées au non-respect de la loi Informatique et libertés.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte, conformément à l’article 37 de son règlement intérieur.
Décide :
De la délivrance du label CNIL « formation » pour la formation intitulée « Management du risque Informatique et libertés dans l'univers de la relation client et du marketing » du cabinet HAAS. 
Ce label est délivré pour une durée de trois ans conformément à l’article 39 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité au terme de la première année.
La Présidente
I. FALQUE-PIERROTIN
(Saisine N° 14012689) 
La Commission nationale de l'informatique et des libertés,
Saisie par B.R.M. Avocats, le 11 avril 2014, d’une demande de délivrance de label concernant sa formation intitulée « Formation Informatique et Libertés Générale » ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11 3°c ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la CNIL, notamment ses articles 32 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;