AgentPublic/cnil huggingface dataset:
Sur le responsable du traitement
La Commission est saisie d’une demande d’autorisation par le Conseil général de la Gironde, qui souhaite mettre en œuvre un traitement de données à caractère personnel dans le cadre de la mise en œuvre de sa mission légale, telle que prévue par le Code de l’action sociale et des familles, d’aide sociale en faveur des personnes âgées et des personnes handicapées. 
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la gestion et l’évaluation du suivi médico-social des personnes âgées ou handicapées, d’une part, ainsi que le suivi des recours de ces personnes contre les décisions du Président du Conseil général, d’autre part. La Commission considère que cette finalité est déterminée, explicite et légitime.Elle estime que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les données à caractère personnel sont relatives à : 
l’identification des personnes (nom, prénom, adresse, date et lieu de naissance, nationalité) ;
leur vie personnelle (habitude de vie, situation familiale) ;
des informations d’ordre économique et financier (revenus) ;
des appréciations sur les difficultés sociales (situation médico-sociale, rapport médico-social permettant de déterminer l’appartenance à un groupe iso ressource) ;
la santé (pathologies, affections, antécédents, soins, situations ou comportements à risque).
La Commission relève que la nationalité est collectée, sous la forme « Française ; Etrangère hors Union européenne ; Etrangère Union européenne », et ce, afin de s’assurer du respect des conditions légales réservant le service de certaines prestations aux ressortissants français ou européens.
Elle relève également que les données relatives à la santé sont collectées directement auprès des personnes concernées, après le recueil d’un consentement exprès. 
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires
Seuls les agents habilités du Conseil général de la Gironde peuvent être destinataires des données du présent traitement.La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur les formulaires de collecte, une mention sur le site internet du Conseil général de la Gironde, ainsi qu’un affichage dans les locaux de ce dernier.Les droits d’accès et de rectification s’exercent auprès de la Direction des actions pour personnes âgées et personnes handicapées du Conseil général de la Gironde.  La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe impérativement renouvelés tous les deux mois et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules ainsi que des chiffres.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.Les transmissions de données sont sécurisées par l’utilisation d’un protocole crypté nécessitant un certificat électronique sur l’ensemble des serveurs utilisés. Le recours à des connexions « SSL » sécurisées garantira l’authentification des points d’accès connectés, ainsi que l’intégrité et la confidentialité des données échangées.Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées en base active jusqu’au versement de la dernière prestation allouée par le Conseil général de la Gironde.Afin de pouvoir satisfaire à un contrôle de la chambre régionale des comptes, les données relatives à l’identification des personnes ayant perçu une aide, d’une part, et celles relatives à des informations d’ordre économique et financier, d’autre part, sont archivées pendant cinq ans à compter du versement de la dernière prestation. Les autres données du présent traitement peuvent également faire l’objet d’un archivage, dès lors qu’un texte de nature législative ou réglementaire le prévoit et que la durée d’archivage n’excède pas celle prévue par la réglementation en vigueur.A l’issue de ce délai, les données sont définitivement supprimées ou versées au service d’archives départemental dans les conditions du livre II du code du patrimoine.Ces durées de conservation apparaissent pertinentes  au regard de la finalité poursuivie par le présent traitement.
Autorise, conformément à la présente délibération, le Conseil général de la Gironde à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1520400)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Conseil général de la Gironde d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion administrative et le suivi des accompagnements médico-sociaux réalisés au sein des maisons départementales de la solidarité et de l’insertion de la Gironde,  
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L.121-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Laurence DUMONT, commissaire, et après avoir entendu les observations de  Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Commission est saisie d’une demande d’autorisation par le Conseil général de la Gironde, qui souhaite mettre en œuvre un traitement de données à caractère personnel dans le cadre de la mise en œuvre de sa mission légale d’aide sociale telle que prévue par le Code de l’action sociale et des familles.
Réparties sur le territoire de chaque département, les maisons départementales de la solidarité (MDSI), auparavant appelées centres médico-sociaux, sont chargées de mettre en œuvre la politique de solidarité des conseils généraux.
Elles assurent des actions dans les domaines de l’accès au droit, de la santé, de l’action sociale et éducative en faveur des familles et de leurs enfants, de l’insertion sociale et de la lutte contre les exclusions. 
Plus précisément, les MDSI ont pour missions :
l’accueil, l’information et l’orientation de la population du département pour garantir  l’accès aux droits de tous ;
la prévention et la protection de l’enfance et de la famille, à savoir soutenir les parents dans leurs fonctions éducatives, concourir à l’équilibre et au développement affectif des enfants, prévenir la maltraitance des enfants, conseiller et soutenir les familles en lien avec l’éducation nationale ;
la protection maternelle et infantile (PMI) ;
la lutte contre les exclusions, à savoir conseiller et accompagner des ménages en difficulté ou en situation de précarité, notamment par l’instruction des droits et le suivi des bénéficiaires du revenu de solidarité active, l’aide à l’accès et au maintien dans le logement, des interventions dans le cadre des procédures d’expulsion, ou l’octroi d’un soutien financier.
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la gestion administrative et le suivi des accompagnements médico-sociaux réalisés au sein des maisons départementales de la solidarité et de l’insertion de la Gironde. La Commission considère que cette finalité est déterminée, explicite et légitime.Elle estime que le recours à la formalité de l’autorisation se justifie au regard de l’article 25-I-7° de la loi 6 janvier 1978 modifiée pour ce qui concerne les traitements comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les données à caractère personnel sont relatives à : 
l’identification des personnes concernées (nom, prénom, adresse, date et lieu de naissance, numéro de téléphone) ;
leur vie personnelle (situation familiale) ;
leur vie professionnelle (situation professionnelle, scolarité, formation) ;
des informations d’ordre économique et financier (revenus, situation financière) ;
des appréciations sur les difficultés sociales (rapports de travailleurs sociaux mettant notamment en lumière des difficultés familiales, financières ou relationnelles ainsi que les actions correctives associées) ;
la santé (pathologies, affections, antécédents, soins, situations ou comportements à risque).
La Commission relève que les données relatives à la santé sont collectées directement auprès des personnes concernées, après le recueil d’un consentement exprès. 
La Commission considère que le traitement des données précitées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires
Les données relatives à l’identification des personnes, leur vie personnelle et professionnelle, leur situation économique et financière, ainsi que les appréciations sur leurs difficultés sociales sont uniquement accessibles aux travailleurs sociaux et secrétaires du Conseil général de Gironde habilités à en connaitre.Les données relatives à la santé sont transmises aux seuls professionnels de santé impliqués dans le suivi médico-social des personnes concernées.La Commission considère que ces destinataires ont un intérêt légitime à connaître de ces données. 
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur les formulaires de collecte, une mention sur le site internet du Conseil général de la Gironde, ainsi qu’un affichage dans les locaux de ce dernier.Les droits d’accès et de rectification s’exercent auprès de la Direction générale adjointe chargée de la solidarité du Conseil général de la Gironde.  La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe impérativement renouvelés tous les deux mois et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules ainsi que des chiffres.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.Les transmissions de données sont sécurisées par l’utilisation d’un protocole crypté nécessitant un certificat électronique sur l’ensemble des serveurs utilisés. Le recours à des connexions « SSL » sécurisées garantira l’authentification des points d’accès connectés, ainsi que l’intégrité et la confidentialité des données échangées.Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées en base active jusqu’à la fin d’un accompagnement médico-social.Afin de pouvoir satisfaire à un contrôle de la chambre régionale des comptes, les données relatives à l’identification des personnes ayant perçu une aide, d’une part, et celles relatives à des informations d’ordre économique et financier, d’autre part, sont archivées pendant cinq ans à compter du versement de la dernière prestation. Les autres données du présent traitement peuvent également faire l’objet d’un archivage, dès lors qu’un texte de nature législative ou réglementaire le prévoit et que la durée d’archivage n’excède pas celle prévue par la réglementation en vigueur.A l’issue du délai d’archivage, les données sont définitivement supprimées ou versées au service d’archives départemental dans les conditions du livre II du code du patrimoine.Ces durées de conservation apparaissent pertinentes  au regard de la finalité poursuivie par le présent traitement.
Autorise, conformément à la présente délibération, le Conseil général de la Gironde à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Madame Claire DAVAL ; 
Etant aussi présents M. Jean-Marie COTTERET, Vice-Président, Mme Marie-Hélène MITJAVILE, MM. Jean-François CARREZ, Claude DOMEIZEL et Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2012-010 du 13 avril 2012 de la Présidente de la Commission nationale de l'informatique et des libertés mettant en demeure la société X ;
Vu la décision n° 2012-012C du 31 janvier 2012 de la Présidente de la Commission nationale de l'informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ;
Vu le procès-verbal de contrôle 2012-048 du 02 février 2012 ;
Vu le procès-verbal de contrôle 2012-315 du 15 octobre 2012 
Vu le procès-verbal de contrôle 2012-420 du 11 décembre 2012 
Vu la plainte n°10030723 du 15 décembre 2010 ;
Vu le rapport de M. Emmanuel de GIVRY, commissaire rapporteur, adressé par porteur à la société X le 15 janvier 2013;
Vu les autres pièces du dossier.
Ayant entendu, lors de la réunion de la formation restreinte du 21 février 2013 :- M. Emmanuel de GIVRY, commissaire, en son rapport ;- M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations ;- M. Edouard GEFFRAY, secrétaire général de la CNIL, 
La société X n'a pas produit d'observations écrites et ne s'est pas présentée à l'audience du 21 février 2013.
A adopté la décision suivante :  
FAITS ET PROCÉDURE
Le 15 décembre 2010, la Commission nationale de l'informatique et des libertés (ci-après la "CNIL" ou la "Commission") a été saisie d'une plainte émanant d'un salarié de la société de conseil en systèmes d'information X (ci-après la "société"). Aux termes de la plainte, il était reproché l'installation d'un dispositif de vidéosurveillance, réalisé sans information préalable et dont l'usage était jugé abusif par le plaignant
Ce dispositif de vidéosurveillance avait été installé à l'automne 2010 puis déplacé en novembre 2011 suite au déménagement de la société dans de nouveaux locaux. Il se compose de huit caméras filmant des espaces fermés au public, notamment des bureaux et salle de réunion. 
Par échange de courriers entre février et décembre 2011, la société a été appelée à s'expliquer sur les finalités et procédures afférentes à l'utilisation du dispositif de vidéosurveillance. Elle a été invitée à procéder à certains aménagements de la mise en conformité du dispositif.
Au terme de cet échange, la présidente de la Commission a décidé d'une mission de contrôle dans les locaux de la société. Le procès-verbal de contrôle du 02 février 2012 établit plusieurs manquements à la loi du 6 janvier 1978 modifiée. 
Par décision 2012-10 du 13 avril 2012, la présidente de la Commission a mis en demeure la société de mettre en œuvre un dispositif proportionné et ne conduisant pas à une mise sous surveillance constante de ses salariés, de procéder à l'information des personnes, de remédier aux lacunes de sécurité constatées et de justifier des mesures prises dans le délai d'un mois.
Entre les mois de juin et août 2012, une seconde série d'échanges, par courrier, a permis à la société d'être accompagnée dans sa mise en conformité. Une seconde mission de contrôle s'est présentée dans les locaux de la société le 15 octobre 2012 pour y constater que plusieurs des engagements pris en réponse à la mise en demeure n'étaient pas respectés. A cette occasion, le dirigeant de la société s'est engagé à faire supprimer le dispositif de vidéosurveillance par son prestataire. 
A l'occasion d'un troisième et dernier contrôle réalisé le 11 décembre 2012, il a été constaté que ce dernier engagement n'était pas respecté et que des manquements visés par la mise en demeure subsistaient. 
Sur la foi de ces éléments, la présidente de la Commission a désigné comme rapporteur M. Emmanuel de GIVRY, Commissaire et Vice-président délégué, membre de la CNIL, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que la société avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur a fait notifier à la société par porteur, le 15 janvier 2013, un rapport détaillant les manquements à la loi qu'il estimait constitués en l'espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l'encontre de la société une sanction pécuniaire, dont il sollicitait par ailleurs qu'elle soit rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 21 février 2013 indiquant à la société qu'elle disposait d'un délai d'un mois pour communiquer ses observations écrites. 
La société n'a pas produit d'observations écrites et ne s'est pas présentée devant la formation restreinte le 21 février 2013. 
A l'issue de cette procédure, et après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit.  
MOTIFS DE LA DÉCISION
1. Sur le manquement à l'obligation de proportionnalité du dispositif de vidéosurveillance
Le 3° de l'article 6 de la loi du 6 janvier 1978 modifiée dispose que "les données à caractère personnel collectées par un responsable de traitement doivent être adéquates, pertinentes et non-excessives au regard des finalités pour lesquelles elles sont collectées ainsi et de leurs traitements ultérieurs". 
L'article L1121-1 du code du travail dispose que "Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché". 
Il est établi par les constats réalisés les 15 octobre 2012 et 11 décembre 2012 que la société a placé au moins un de ses salariés sous une surveillance permanente et constante. 
Il est également constaté que cette situation a perduré largement au-delà du délai de mise en conformité prévu par la mise en demeure du 13 avril 2012.
Le responsable de traitement qui justifiait la mise en place d'un dispositif de vidéosurveillance par la nécessité de protéger les personnes et les biens n'apporte aucun élément justificatif de cette surveillance particulière. Il n'a ainsi pas été constaté ou avancé l'existence d'une situation particulière ou d'un risque particulier auxquels sont exposées les personnes surveillées. 
Il n'existe donc pas de justification à cette mise sous surveillance permanente et constante, ni au refus de se conformer aux multiples demandes formées par courriers et à la mise en demeure du 13 avril 2012.
Il en découle nécessairement que le traitement est disproportionné. La société a donc manqué à l'obligation imposée par l'article 6-3° de la loi du 6 janvier 1978 modifiée en plaçant et en maintenant sous surveillance l'un au moins de ses salariés.
2. Sur le manquement à l'obligation d'informer les personnes
L'article 32 de la loi du 6 janvier 1978 modifiée dispose que "la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 3° Du caractère obligatoire ou facultatif des réponses ; 4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 5° Des destinataires ou catégories de destinataires des données ; 6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ; 7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne".
L'article L.1222-4 du code du travail prévoit qu'"aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance".
La lecture conjointe de ces deux articles impose que les salariés soient informés tant de l'existence du dispositif de vidéosurveillance, que de leurs droits relativement à ce traitement.
Il est établi par constat qu'aucune information individuelle n'a été diffusée aux salariés de la société et ceci en dépit des multiples demandes formées par courriers et par la mise en demeure du 13 avril 2012.
Au surplus, il n'est pas contesté que c'est à la demande du président de la société que cette information n'a pas été délivrée comme cela est rapporté au procès-verbal du 15 octobre 2012. Aux termes de l'article L1121-9 du code du travail, les candidats à l'emploi doivent bénéficier de mesures d'information similaires à celles prévues pour les salariés. 
Il est établi par les constats que cette information n'a, en pratique, été réalisée systématiquement au bénéfice des candidats à l'emploi que postérieurement au 15 octobre 2012. Avant cette date et malgré la mise en demeure du 13 avril 2012, la société a persisté à ne délivrer cette information que postérieurement aux entretiens d'embauche puis oralement suivant le gré des salariés en charge des recrutements. 
La société X a donc manqué à l'obligation d'information des personnes imposée par l'article 32° de la loi du 6 janvier 1978 modifiée et le code du travail conjointement. 
3. Sur le manquement à l'obligation d'assurer la sécurité des données
L'article 34 de la loi du 6 janvier 1978 modifiée impose au responsable de traitement de prendre "toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès".