AgentPublic/cnil huggingface dataset:
DGEPF a indiqué ne pas en être informée.Elle a également précisé qu'elle a choisi de renseigner l'indicateur commun  autres personnes défavorisées  prévu par le règlement précité pour viser des participants tels que les anciens détenus, les personnes qui usent de drogues ou d'alcool, les personnes en situation de très grande pauvreté, à l'aide de critères objectifs tirés du bénéfice de minima sociaux et de difficultés de logement, qu'elle a jugés pertinents.La commission prend acte de ce que les participants seront libres de ne pas répondre aux deux questions  Etes-vous sans domicile fixe ou confronté à l'exclusion de votre logement ?  et  Un de vos deux parents est-il né à l'étranger ?  en cochant la case  Ne souhaite pas répondre/ne sait pas .La commission prend acte de ce que, par ce dispositif, l'administration veille à ne pas procéder à la collecte de données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, relatives notamment aux origines raciales ou ethniques des participants, tout en définissant des critères qui puissent permettre de répondre à ceux définis par les autorités communautaires.Elle prend acte qu'une note conjointe de l'Association des régions de France (ARF) et de la DGEFP est en cours d'élaboration destinée à informer la Commission européenne de l'interprétation faite par les autorités de gestion françaises des indicateurs précités.Sur la pertinence de l'enregistrement de pièces justificatives dans le système d'informationLa DGEFP
a indiqué que les informations relatives aux caractéristiques des participants seront renseignées par les porteurs de projet sur une base déclarative et ne donneront pas lieu à l'enregistrement dans le téléservice de documents justificatifs. La commission en prend acte.En revanche, elle a indiqué que l'enregistrement des pièces nécessaires à l'appréciation de l'éligibilité des participants aux projets était inhérent à la dématérialisation des procédures et que, dans le cadre de certains projets financés par le FSE, la Commission européenne exigeait désormais les pièces justificatives des résultats des actions menées.La commission demande que le traitement de pièces justificatives soit strictement limité au contrôle de l'éligibilité des participants aux projets, ainsi que des résultats des actions menées sur leur situation, dans la stricte mesure où ces pièces sont exigées par la Commission européenne. Elle prend acte des engagements du ministère de modifier le projet d'arrêté en ce sens.Elle prend acte, enfin, que les questionnaires papier adressés par la DGEFP et renseignés par les porteurs de projet en l'attente de l'ouverture du téléservice sont en tous points conformes aux dispositions du projet d'arrêté et demande que ces documents papier soient supprimés une fois les données saisies dans  Ma démarche FSE .Sur la durée de conservation des donnéesL'article 5 du projet d'arrêté prévoit que  Les informations mentionnées à l'article 2 du présent arrêté sont conservées
pendant une durée de dix-neuf ans à compter du 1er janvier 2014. Cette durée est prorogée, le cas échéant, par la suspension d'un délai consécutif à une procédure judiciaire ou à une demande motivée de la Commission. Comme pour la programmation 2007-2013, le programme national FSE de la politique de cohésion de l'Union européenne est prévu pour sept ans. Sa clôture intervient au mieux deux ans après la fin de la période de programmation. En outre, la Commission européenne est en mesure de réaliser des contrôles relatifs à l'utilisation des fonds alloués pendant dix ans à compter de la clôture du programme.Les données à caractère personnel sont ainsi conservées au maximum pendant dix-neuf ans, à compter du début du programme.La commission estime que la durée de conservation retenue n'excède pas celle qui est nécessaire à l'accomplissement des finalités poursuivies.Elle demande que les caractéristiques identifiantes relatives aux personnes concernées, traitées pour répondre à des fins légales, soient conservées le temps et dans la mesure strictement nécessaires à ces fins, dans des conditions physiques et logiques de nature à garantir leur confidentialité, puis supprimées.Toutefois, interrogée sur le sort des données une fois la durée de conservation échue, la DGEFP a indiqué que les données seraient anonymisées. La commission prend acte des engagements du ministère de modifier le projet de décret sur ce point.Elle relève que la DGEFP envisage, à terme, la mise à disposition
de données préalablement anonymisées.La commission rappelle, à cet égard, que l'anonymisation des données ainsi mises à disposition devra être effective. Il conviendra donc de démontrer la conformité de la solution et des techniques d'anonymisation mises en œuvre, aux trois critères définis par l'avis du G 29 n° 05/2014, et de la transmettre à la commission.Si l'un des trois critères n'était pas respecté, il sera alors nécessaire de transmettre une étude des risques de réidentification montrant que les éventuels risques résiduels sont suffisamment faibles pour ne pas porter atteinte à la vie privée des personnes concernées.La démonstration de conformité ou l'étude des risques de réidentification, et le cas échéant la solution, nécessiteront d'être revues régulièrement pour tenir compte des évolutions des techniques d'anonymisation et de réidentification.Sur les destinataires des donnéesL'article 4 du projet prévoit que  les données mentionnées à l'article 2 sont accessibles aux agents des organismes chargés de la gestion du fonds social européen et services nationaux et européens chargés du contrôle de la bonne utilisation du Fonds social européen, à raison de leurs attributions respectives et du besoin d'en connaître .Les données à caractère personnel traitées seront accessibles au personnel habilité des gestionnaires du Fonds social européen (autorités de gestion, autorités de gestion déléguées et organismes intermédiaires), d'une part, et des autorités et services chargés
de contrôler la bonne utilisation du Fonds social au niveau national et au niveau communautaire, d'autre part.La commission relève que ces droits seront limités aux données personnelles strictement nécessaires à leur intervention, dans la limite de leurs attributions et de leur champ géographique d'intervention et qu'une gestion rigoureuse des habilitations d'accès aux données (en lecture et en écriture) a été mise en place en fonction des attributions des utilisateurs du système.Elle relève que la Commission européenne sera exclusivement destinataire de données agrégées concernant les opérations cofinancées par le FSE, sauf pour ce qui concerne les opérations d'audit.La commission considère que ces destinataires ont un intérêt légitime à accéder aux données du téléservice dénommé  Ma démarche FSE .Elle rappelle qu'en tout état de cause l'accès aux données doit s'effectuer dans des conditions conformes à la loi du 6 janvier 1978 modifiée et à la doctrine de la commission.Sur l'information des personnesLes personnes physiques concernées seront informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par voie orale par les porteurs de projet ainsi que par le biais d'une mention sur le site internet du téléservice.La commission estime que seule une information claire, complète et explicite est de nature à permettre aux participants d'exercer pleinement leurs droits. Elle estime que pour être satisfaisante, l'information orale effectuée auprès d'eux par les
personnels habilités des porteurs de projet doit s'accompagner de la remise d'une notice d'information conforme aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée.Cette notice devra être fournie selon des modalités adaptées à leur état et devra, en particulier, comporter des informations relatives aux modalités de mise en œuvre du suivi, assorties de la possibilité de s'opposer aux enquêtes réalisées par la DGEFP sur les échantillons représentatifs de participants.Les informations mentionnées à l'article 32 devront également figurer sur les questionnaires remplis par les porteurs de projet, ainsi que sur les formulaires que les participants devront remplir pour participer à une action de formation.Les participants devront, notamment, être informés de la possibilité de ne pas répondre aux questions dont la collecte n'obéit pas à une obligation légale à laquelle le responsable de traitement est soumis.La commission estime également qu'il importe de sensibiliser les porteurs de projet sur ces points et prend acte des engagements du ministère en ce sens.Elle rappelle, en outre, que les personnels des porteurs de projet doivent être dûment informés du traitement des données qui les concernent dans le cadre du système d'information  Ma démarche FSE , conformément aux dispositions de l'article 32 précité.Sur les droits d'accès, de rectification et d'opposition des personnesLes droits d'accès et de rectification s'exercent auprès de la DGEFP en adressant à
celle-ci un courrier postal accompagné de la copie d'un justificatif d'identité.La commission demande que les modalités de mise en œuvre de l'ensemble des droits reconnus aux personnes par la loi du 6 janvier 1978 modifiée soient clairement précisées dans la notice d'information précitée et prend acte qu'une procédure de vérification d'identité du demandeur est mise en place.Dans ces conditions, la commission considère que les droits d'accès, de rectification et d'opposition sont mis en œuvre conformément aux dispositions de la loi du 6 janvier 1978 modifiée.Sur la sécurité des données et la traçabilité des actionsLa commission estime que, compte tenu de l'enjeu du système d'information retenu en termes de protection des données, du fait en particulier de sa portée nationale et du caractère stigmatisant des données qui concernent des populations vulnérables, une attention toute particulière doit être portée à la confidentialité et à la sécurité des données.Elle rappelle que le responsable du traitement doit prendre toutes précautions techniques et organisationnelles utiles pour préserver la sécurité des données et, notamment, empêcher qu'elles ne soient déformées ou endommagées ou que des tiers non autorisés y aient accès.Elle rappelle également que le téléservice  Ma démarche FSE  doit se conformer au Référentiel général de sécurité (RGS) et que l'homologation du téléservice au RGS doit être prononcée par l'autorité administrative, d'une part, et que cette décision doit
être accessible à partir de la page de connexion au téléservice, d'autre part.A cet égard, la commission prend acte des démarches de conformité au RGS mises en place par le responsable du traitement et de ce qu'un audit régulier du téléservice  Ma démarche FSE  sera réalisé et qu'une mise à jour de l'étude RGS sera réalisée annuellement.Concernant la transmission de données à caractère personnel par internet, la commission relève que les données transmises seront chiffrées au moyen du protocole  https . La commission rappelle que cette mesure doit être revue régulièrement afin de rester à l'état de l'art.Concernant les modalités d'authentification des utilisateurs, la commission relève que ses recommandations ont été mises en œuvre par le ministère, notamment pour la gestion des habilitations et l'accès aux seules données nécessaires.Concernant les supports de stockage usagés, la commission prend acte que ces derniers seront détruits par des prestataires spécialisés.Concernant les mesures de traçabilité, un journal des connexions à l'application permettra de détecter d'éventuelles tentatives d'intrusions et de tracer l'ensemble des opérations de création ou de modification de données. Ces journaux seront conservés pendant six mois, conformément aux recommandations de la commission.Les mesures de sécurité qui concernent le téléservice  Ma démarche FSE  n'appellent pas d'observation de la part de la commission.La commission relève, en revanche, qu'elle dispose de peu
d'informations sur les conditions de sécurité mises en œuvre au niveau local par les porteurs de projet auxquels le RGS n'est pas applicable.Elle prend acte, toutefois, que les porteurs de projet pourront accéder à des données agrégées relatives à leurs participants à des fins de pilotage, mais ne seront pas en mesure d'extraire des données individuelles à partir du téléservice  Ma démarche FSE .La commission estime qu'il importe de sensibiliser les porteurs de projet à la nécessaire confidentialité qui s'attache aux données collectées dans le cadre de la gestion du FSE. Elle prend acte, à cet égard, de l'engagement du ministère que la politique de sécurité en cours d'élaboration à destination des gestionnaires sera étendue aux porteurs de projet. Cette politique de sécurité comportera notamment des recommandations de bonnes pratiques en matière de gestion des données, que celles-ci soient collectées sur support papier en l'attente de l'ouverture du portail, ou sur support électronique.La commission estime, à cet égard, que les porteurs de projet qui n'ont pas à collecter les informations nécessaires à la gestion du FSE dans le cadre de leurs missions actuelles devront être soumis à l'obligation d'utiliser le portail pour collecter les données et, en cas d'impossibilité, devront supprimer les données qu'ils détiennent dès qu'elles auront été enregistrées dans le portail  Ma démarche FSE .Dans ces conditions, les mesures de sécurité mises en place sont conformes à l'exigence
de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.Sur la responsabilité des traitements et les formalités à accomplirLa commission rappelle qu'en sa qualité d'autorité de gestion la DGEFP est responsable des traitements réalisés dans le cadre du suivi des participants.Elle est ainsi responsable du respect des règles de protection des données par les services chargés de la mise en œuvre (comprenant ses propres agents, les autorités de gestion déléguées, les organismes intermédiaires, les sous-traitants tels les consultants externes en charge des enquêtes d'insertion à six mois), ainsi que les porteurs de projet qui collectent les données exclusivement à l'aide du téléservice  Ma démarche FSE .La commission observe, à cet égard, que les conseils régionaux, également autorités de gestion pour leur propre compte, seront soumis aux même obligations, notamment déclaratives auprès de la CNIL.Les porteurs de projet ne sont pas responsables du traitement des informations qu'ils saisissent uniquement dans l'application de gestion mise à leur disposition par l'autorité de gestion, mais doivent informer les intéressés, pour le compte de cette dernière, dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée.Toutefois, s'ils transfèrent à l'autorité de gestion compétente des informations
qu'ils avaient déjà en base pour un traitement relevant de leur responsabilité, ils seront soumis à l'obligation d'effectuer une déclaration modificative, portant sur l'existence d'un nouveau destinataire des données, et devront en informer les intéressés.
La Commission nationale de l'informatique et des libertés,Vu  la convention n° 108 du Conseil de l'Europe pour la protection des  personnes à l'égard du traitement automatisé des données à caractère  personnel ;Vu la directive 95/46/CE du Parlement européen et du  Conseil du 24 octobre 1995 relative à la protection des personnes  physiques à l'égard du traitement des données à caractère personnel et à  la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (3°, c) et 13 ;Vu la loi n° 2014-344 du 17 mars 2014 relative à la consommation ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2013-175 du 4 juillet 2013  portant adoption du règlement intérieur de la Commission nationale de  l'informatique et des libertés, notamment ses articles 32 et suivants ; Après avoir entendu M. Jean-François CARREZ, commissaire, en  son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en  ses observations,Formule les observations suivantes :L'article  11 (3°, c) de la loi du 6 janvier 1978 modifiée dispose qu' à la  demande d'organisations professionnelles ou d'institutions regroupant  principalement des responsables de traitements, la Commission nationale  de l'informatique et des libertés délivre un label à des produits ou à
des procédures tendant à la protection des personnes à l'égard du  traitement des données à caractère personnel, après qu'elle les a  reconnus conformes aux dispositions de la loi du 6 janvier 1978  modifiée. La loi du 17 mars 2014 relative à la consommation a  modifié la loi Informatique et libertés en introduisant notamment la  possibilité pour la commission de  déterminer, de sa propre initiative,  les produits et procédures susceptibles de bénéficier d'un label .L'utilité  de créer une norme de référence sur les procédures de gouvernance des  données personnelles au sein des organismes a été clairement identifiée  par la commission, dans le cadre des échanges entre ses services et les  entreprises et organismes publics concernés, qui ont manifesté leur  intérêt pour ce projet.La commission contribue, par ailleurs, à la  rédaction de normes sur les systèmes de management de la vie privée  élaborées par l'International Organization for Standardization (ISO).  Ces éléments confirment donc que le sujet de la gouvernance des données  personnelles au sein des organismes reflète une véritable préoccupation  tant sur le plan national qu'international.La volonté de la  commission de contribuer au changement des comportements dans la manière  de protéger les données personnelles et de respecter la vie privée, de  sensibiliser les organismes aux exigences du futur règlement européen  sur la protection des données et de répondre aux besoins des  professionnels qu'elle a identifiés
ont conduit la commission à décider  de créer un label en matière de gouvernance Informatique et libertés.L'article  33 du règlement intérieur de la CNIL précise que  la commission adopte  des référentiels définissant les caractéristiques que doivent présenter  des produits ou des procédures pour permettre la délivrance d'un label  individuel. Ceux-ci précisent les modalités d'appréciation de la  conformité à la loi et, le cas échéant, les particularités relatives aux  vérifications subséquentes à la délivrance du label .Par  conséquent, la présente délibération fixe le référentiel d'évaluation  des procédures de gouvernance tendant à la protection des personnes à  l'égard du traitement des données à caractère personnel.Décide en  conséquence d'adopter le référentiel annexé à la présente délibération  permettant l'évaluation des demandes de label relatives aux procédures  de gouvernance des données personnelles au sein des organismes. Cette  délibération sera publiée au Journal officiel de la République  française.Annexe
ANNEXERÉFÉRENTIEL AUX FINS DE LABELLISATION DES PROCÉDURES DE GOUVERNANCE INFORMATIQUE ET LIBERTÉS AU SEIN DES ORGANISMESIntroduction
La gouvernance des données à caractère personnel,  appelée gouvernance  Informatique et libertés , désigne l'ensemble des  mesures, des règles et des bonnes pratiques qui permettent  l'application des lois et règlements pour la gestion de ces données, et  de préciser les responsabilités qui interviennent dans cette gestion.Ce  label a vocation à aider les organismes privés et publics à mettre en  œuvre la protection des données et à rendre compte de l'action qu'ils  mènent en la matière.Le présent référentiel définit les critères  d'évaluation et les moyens permettant à la commission de déterminer si  les procédures de gouvernance, objet d'une demande de label, atteignent  l'objectif visé.Une partie de ce référentiel a été élaborée par la commission à partir :
- du projet de règlement européen relatif à la  protection des données personnelles, qui définit un ensemble de règles  et de mesures de protection ;- de normes ISO (ISO/IEC 27001:2013 sur  les systèmes de management de la sécurité de l'information et ISO/IEC  29190:2014 sur la maturité dans le domaine de la protection de la vie  privée) en les adaptant aux pratiques des correspondants Informatique et  libertés ;- d'une concertation avec les organisations représentatives du secteur.
Il comporte vingt-cinq exigences, toutes cumulatives, réparties en trois parties :
- l'organisation interne liée à la protection des  données (avec des exigences sur la politique de protection des données  et sur le statut, la formation, les ressources et les activités du  correspondant Informatique et libertés, notées  EORxx  dans le  chapitre I) ;- la méthode de vérification de la conformité des  traitements à la loi Informatique et libertés (avec des exigences sur  l'analyse et le contrôle de la conformité, notées  EMxx  dans le  chapitre II) ;- la gestion des réclamations et incidents (avec des  exigences sur la gestion des réclamations et droits des personnes, sur  la journalisation des événements de sécurité et sur la gestion des  violations de données, notées  EGxx  dans le chapitre III).
Les demandeurs doivent démontrer qu'ils satisfont aux  exigences du référentiel en fournissant des justifications argumentées  et des éléments de preuves. Ceux-ci pourront prendre la forme  d'attestations, de documents internes décrivant la politique mise en  place, d'outils mis à disposition, de descriptifs de méthode de travail,  de copies d'écran, etc. Pour être valable, la démonstration proposée ne  doit pas se contenter de reprendre le contenu des exigences pour  indiquer que la procédure soumise à l'évaluation est conforme à  celles-ci, mais doit démontrer en quoi la procédure évaluée y répond de  manière spécifique et détaillée.Le demandeur, candidat au label,  peut être un organisme privé ou public disposant obligatoirement d'un  correspondant Informatique et libertés (CIL), personne physique ou  personne morale, interne ou externe à l'organisme demandeur, mutualisé  avec d'autres ou non.
Terminologie
Ateliers d'informations CNIL
Les ateliers d'information sont proposés  par le service des correspondants de la commission dans le cadre de sa  mission d'information. Ils sont programmés régulièrement et dispensés en  groupe important de personnes et par thème. Ils sont réservés aux CIL  ou, sur dérogation, aux personnes en voie de désignation, et  exceptionnellement aux collaborateurs des CIL. Ces ateliers sont assurés  par les agents de la CNIL qui travaillent sur les sujets abordés, sans  condition spécifique et par certains CIL pour des retours d'expérience.  Ils ont pour but de présenter les principes de la loi et la doctrine de  la CNIL. Ils sont généralement assortis d'un quizz en fin de session  avec une correction globale donnée à l'oral par les intervenants.
Audit
Processus systématique, indépendant et  documenté en vue d'obtenir des preuves et de les évaluer de manière  objective pour déterminer dans quelle mesure des critères prédéterminés  sont satisfaits (NF ISO 19011:2002).
Binding Corporate Rules (BCR)
Code de conduite définissant la politique  d'un groupe d'entreprises en matière de transferts de données. Les BCR  permettent d'offrir une protection adéquate aux données transférées  depuis l'Union européenne vers des pays tiers à l'Union européenne au  sein d'une même entreprise ou d'un même groupe.
Cartographie des traitements