AgentPublic/cnil huggingface dataset:
En second lieu, la Commission recommande que, lors de l’ouverture de LISA, une mention d’information à l’attention des écoutants encadre strictement la saisie des informations en champ libre dans le traitement. 
Ainsi, pour éviter l’enregistrement de commentaires inappropriés, notamment dans le compte-rendu de l’appel, et garantir que les données contenues dans les zones commentaires sont pertinentes, adéquates et non excessives au regard de la finalité du traitement, elle recommande que la mention suivante apparaisse : « Seules doivent être saisies les informations susceptibles d’être pertinentes au regard du contexte. Elles ne doivent pas comporter d’appréciation subjective, ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les mœurs de la personne concernée ».
Sur les catégories de destinataires
Outre les agents habilités du SNATED, pourront être destinataires des données traitées les agents habilités :
des Cellules de recueil, de traitement et d’évaluation des informations préoccupantes (CRIP) du département ; 
des services de police et de gendarmerie, en cas de réquisition ; 
le Parquet, en cas de signalement,
les représentations consulaires et/ou organismes officiels de protection de l’enfance, dans le cas d’enfants de nationalité étrangère (notamment concernant le traitement de la situation des mineurs français domiciliés à l’étranger ou des mineurs étrangers de passage sur le territoire français).
Ce qui n’appelle pas d’observation.
Sur la durée de conservation
Initialement, le SNATED souhaitait conserver les données traitées dans LISA pendant une durée de 20 ans. 
Sur recommandation de la Commission, le SNATED a choisi de conserver les données traitées dans LISA 3 ans en base active. 
Elles seront ensuite archivées sur un disque dur indépendant placé dans un coffre pour une durée de 25 ans, afin de couvrir les délais de prescription définis par les textes réglementaires, en particulier les articles 7 et 8 du code de procédure pénale disposant respectivement que « le délai de prescription de l'action publique des crimes et délits commis contre des mineurs ne commence à courir qu'à partir de la majorité de ces derniers » et que « l’action publique se prescrit dans un délai de dix années révolues à compter du dernier acte ».
Sur la sécurité
Concernant la transmission des fiches d’appel remplies par les agents du SNATED en vue d’une évaluation de la situation de l’enfant concerné, la Commission recommande que le SNATED procède à un envoi par courrier postal ou via un réseau sécurisé, à l’exclusion de tout recours au fax.
A cet égard, elle préconise la promotion d’échanges dématérialisés sécurisés au moyen soit d’un chiffrement des données transmises (protocoles SSL ou SFTP) soit du recours à des réseaux sécurisés (VPN ou LS par exemple).
En outre, concernant le développement de l’application déclaré par le SNATED, il convient de procéder à partir de données fictives ou bien anonymes, à l’exclusion de toute donnée réelle. 
Par ailleurs, concernant la journalisation des connexions, il est nécessaire que celle-ci renseigne les données accédées.  
Enfin, concernant le mot de passe utilisé pour authentifier les agents habilités, la Commission rappelle que celui-ci doit être de 8 caractères, composé de lettres, de chiffres, de majuscules, de minuscules et d’au moins un caractère spécial. Il doit être renouvelé régulièrement, c'est-à-dire au moins une fois par an.
Sur l’information des personnes concernées et le droit d’accès
Les informations recueillies dans le cadre du SNATED sont couvertes par le secret professionnel (article L.226-13 du code pénal, article L.226-9 du code de l’action sociale et des familles et avis rendu par la CADA le 10 mai 2010). 
Dés lors, dans le respect du secret professionnel, aucun droit d’accès direct ou ne saurait être mis en œuvre.
La Commission relève que le traitement déclaré correspond à une gestion efficace, légitime et strictement nécessaire des données relatives à la prise en charge des jeunes accueillis.
Dans ces conditions, la Commission autorise le SNATED à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
(Autorisation n°1444709)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment son article 25-1-6° ; 
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu, M. Philippe GOSSELIN, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par la l’Association Départementale des Amis et Parents de Personnes Handicapées Mentales (ADAPEI de Besançon) d’un traitement de données à caractère personnel ayant pour finalité la gestion des données relatives aux parcours d’insertion socioprofessionnelle des personnes handicapées suivies par l’ADAPEI de Besançon.
A la différence de la Fédération nationale qui rassemble les associations locales (l’UNAPEI), reconnue d’utilité publique depuis 1963, l’ADAPEI de Besançon n’est pas reconnue d’utilité publique. Elle est l’une des 600 associations locales chargées de réaliser et de gérer des établissements et services d’intérêt général répondant aux besoins des personnes handicapées mentales.
Ce traitement relève du régime de l’autorisation prévu à l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, applicable aux traitements comportant des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR).
Sur les finalités poursuivies par le traitement
La finalité du traitement est de gérer toutes les informations relatives à la saisie, à la coordination, à l’évaluation des parcours d’insertion socioprofessionnelle des enfants et adultes handicapés mentaux de l’ADAPEI de Besançon.
D’une part, ce traitement permet de répondre aux exigences de la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale et de la loi n°2005-102 du 11 février 2005 pour l’égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées. En effet, celui-ci fournit un outil de management de la mesure et de la surveillance des actions menées pour les usagers (certification ISO 9001).
D’autre part, le traitement permet une mutualisation des actions d’accompagnement de l’usager handicapé mental, selon son projet de vie individuel (mémorisation des données et des actions, échanges d’informations). L’analyse des résultats obtenus permet de définir des actions pertinentes et de prévoir les conséquences relatives à la prise en charge individuelle et collective des usagers.
Les principales fonctions du traitement concerneront :
la gestion des demandes ;
la gestion des décisions de l’association ; 
la réalisation éventuelle de statistiques ;
la gestion de l’instruction des attributions d’aides. 
Sur les catégories de données traitées
Les données renseignées dans le traitement concernant la personne aidée sont : 
- son identité, y compris le NIR ;
- sa vie personnelle et familiale ;
- sa vie professionnelle.
En ce qui concerne l’utilisation du NIR des personnes handicapées accompagnées, l’ADAPEI souligne que cette donnée est utilisée pour servir différents objectifs, parmi lesquels :
- un suivi médical des usagers de l’association, comprenant notamment une gestion des remboursements de frais médicaux ainsi qu’une aide au suivi médical au quotidien (accompagnement lors de diverses visites médicales) ;
- une aide à la gestion des échanges administratifs de la personne accompagnée avec la sécurité sociale, les mutuelles, les professions médicales et paramédicales ;
- une gestion de la facturation des prix de journée aux organismes de tarification et de contrôle concernés et des tarifs du forfait hospitalier le cas échéant (participation de l’Etat à la prise en charge des personnes handicapées accueillies en Maisons d’Accueil Spécialisé) ; 
- une aide à la gestion de l’activité professionnelle de la personne concernée : embauche en Entreprise Adaptée ou intégration en ESAT -aide par le travail), gestion des arrêts maladie, gestion des payes, mise en place de conventions de stages en entreprise adaptée et en ESAT ;
Ces données peuvent être directement saisies par les agents habilités de l’ADAPEI à partir des informations communiquées par la famille, le représentant légal de la personne concernée, la MDPH ou un partenaire de l’ADAPEI (employeur de la personne concernée). 
Sur les catégories de destinataires
Seuls les agents habilités de l’association peuvent accéder aux données traitées. L’ADAPEI n’a pas souhaité mettre à la disposition de ses partenaires un quelconque accès à ces informations. Ce qui n’appelle pas d’observations.
Sur la durée de conservation
Les données seront conservées pendant la prise en charge de la personne souffrant d’un handicap par l’ADAPEI. Cette durée de conservation n’appelle aucune observation de la Commission. 
Sur la sécurité
Concernant la confidentialité des données traitées, la Commission rappelle les points suivants.
Le mot de passe utilisé dans le cadre de l’authentification des agents doit être de 8 caractères et comporter des lettres, des chiffres, des majuscules, des minuscules ainsi qu’au moins un caractère spécial. Il doit être renouvelé régulièrement, c'est-à-dire au moins une fois par an. 
La journalisation des connexions à l’application doit non seulement permettre de connaître l’agent concerné et la date d’accès mais également les contenus auxquels celui-ci a accédé.
Enfin, compte tenu des données traitées, les échanges de données effectués par l’ADAPEI avec des organismes tiers doivent faire l’objet d’un chiffrement (SSL ou SFTP par exemple).
Sur l’information des personnes concernées et le droit d’accès
L’information des personnes concernées sera effectuée par l’envoi d’un courrier personnalisé et par des entretiens d’information d’accueil dans les locaux de l’ADAPEI, donnant lieu à la signature d’un contrat de séjour faisant mention de l’ensemble des dispositions énumérées à l’article 32 de la loi du 6 janvier 1978 modifiée.
Le droit d’accès défini à l’article 39 de la loi du 6 janvier 1978 modifiée en 2004 s’exerce auprès du siège social de l’ADAPEI de Besançon.
La Commission relève que le traitement déclaré correspond à une gestion efficace, légitime et strictement nécessaire des données relatives aux personnes bénéficiant d’un accompagnement.
Dans ces conditions, la Commission autorise l’ADAPEI de Besançon à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
(Autorisation n°1517802)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment son article 25-I-7° ; 
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu, M. Philippe GOSSELIN, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par le Secours populaire français d’un traitement de données à caractère personnel dénommé « Popaccueil », ayant pour finalité la gestion des personnes accompagnées.
Ce traitement relève du régime de l’autorisation prévu à l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, applicable aux traitements comportant des appréciations sur les difficultés sociales des personnes.
Sur les finalités poursuivies par le traitement
La finalité du traitement Popaccueil est :
d’une part, la gestion des personnes accompagnées soutenues par le Secours populaire français, notamment en ce qui concerne la gestion des adresses, la composition de chaque famille soutenue ainsi que les différentes aides prodiguées ;
d’autre part, la réalisation de statistiques permettant de quantifier l’activité d’accueil du Secours populaire français, et d’évaluer les besoins à couvrir.
Concernant la première finalité, ce traitement permet un accompagnement efficace des personnes aidées, notamment en donnant la possibilité d’effectuer des extractions multicritères. 
Concernant la seconde finalité, l’évaluation de l’activité du Secours populaire permet une collecte anonyme ou semi-anonyme des données (personnes ne souhaitant pas révéler leur identité, maraudes, gens du voyage).
Sur les catégories de données traitées
Les données concernant la personne aidée concernent : 
- son identité (nom, prénoms, date de naissance, adresse, courriel) ;
- les coordonnées du travailleur social en charge de son accompagnement ;
- sa situation face au logement (propriétaire, SDF, Squat, autre logement) ;
- les circonstances dans lesquelles la personne a connu le Secours populaire (venue spontanée, services sociaux, autres) ; 
- sa vie personnelle et familiale (composition du foyer : nom et prénoms, lien de parenté, date de naissance, situation scolaire et professionnelle) ;
- sa vie scolaire et/ou professionnelle (salarié, demandeur d’emploi, retraité, étudiant) ;
- sa situation économique et financière (ressources, prestations sociales, surendettement) ; 
- ses « droits-santé » (assuré social, aide médicale d’Etat, mutuelle, en attente de droits, CMU, CMU complémentaire) ; 
- des informations permettant d’apprécier la situation des personnes, fin de gérer au mieux l’aide à leur apporter (situation de handicap : oui/non). 
Le traitement vise également les identifiants ainsi que l’horodatage des connexions au traitement des salariés et des membres adhérents. 
Ces données peuvent être directement saisies par les agents habilités du Secours populaire français à partir des informations communiquées par la personne concernée (ou par son représentant légal) ou bien à partir d’une extraction de la base de données Popamis, qui permet le référencement des bénévoles et des salariés du Secours populaire français (déclaration normale n°1522332). 
Sur les catégories de destinataires
Sous format nominatif, seuls les agents habilités du Secours populaire français peuvent accéder aux données traitées (permanence d’accueil dans laquelle les personnes concernées ont été accueillies). 
Sous format anonyme, les destinataires de ces données sont : 
le comité ou la fédération départementale du Secours populaire français dont dépend la permanence d’accueil ;
l’association nationale du Secours populaire français ;
la Direction générale de la cohésion sociale (DGCS).
Ce qui n’appelle pas d’observation.
Sur la durée de conservation
Initialement, les données devaient être conservées pendant 3 années. 
Sur recommandation de la Commission, le Secours populaire français a choisi de conserver les données 2 années à compter de la dernière opération enregistrée sur le dossier de la personne suivie. 
Sur la sécurité
Concernant le mot de passe utilisé pour authentifier les agents habilités, la Commission rappelle que celui-ci doit être de 8 caractères, composé de lettres, de chiffres, de majuscules, de minuscules et d’au moins un caractère spécial. Il doit être renouvelé régulièrement, c'est-à-dire au moins une fois par an.
Une journalisation des connexions est effectuée concernant la consultation, la création, la mise à jour et la suppression des données. Toutefois, il est nécessaire que celle-ci renseigne les données accédées.
Enfin, la Commission a pris acte du chiffrement des données en base et des échanges (SSLv3). 
Sur l’information des personnes concernées et le droit d’accès
L’information des personnes concernées sera effectuée par le biais de mentions sur le site internet du secours populaire français. Compte tenu de la situation des personnes aidées, elle recommande également que cette information soit proposée, à l’oral, par le travailleur social, lors des entretiens d’information d’accueil (la personne pourra alors choisir d’être renseignée sur l’ensemble des dispositions énumérées à l’article 32 de la loi du 6 janvier 1978 modifiée).
Le droit d’accès défini à l’article 39 de la loi du 6 janvier 1978 modifiée en 2004 s’exerce auprès de la Direction des systèmes d’information du Secours populaire français.
La Commission relève que le traitement déclaré correspond à une gestion efficace, légitime et strictement nécessaire des données relatives aux personnes bénéficiant d’un accompagnement.
Dans ces conditions, la Commission autorise le Secours populaire français à mettre en œuvre le traitement de données à caractère personnel présenté.
Le Président
Alex TURK
(Autorisation n°1478482)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004 et notamment ses articles 8-IV, 25-I-1°, 25-I-6° et 25-I-7° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu la loi n°97-60 du 24 janvier 1997 tendant, dans l'attente du vote de la loi instituant une prestation d'autonomie pour les personnes âgées dépendantes, à mieux répondre aux besoins des personnes âgées par l'institution d'une prestation spécifique dépendance ;
Vu la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale ; 
Après avoir entendu, M. Philippe GOSSELIN, commissaire en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l’informatique des libertés a été saisie par le Centre communal d’action sociale (CCAS) de Dijon d’un traitement de données à caractère personnel ayant pour finalité la gestion des données dénommé Easy-Soins relatif à la prise en charge de soins des personnes âgées dépendantes placées en structure d’accueil.
Ce traitement relève du régime de l’autorisation prévu aux articles 8-IV, 25-I-1°, 25-I-6° et 25-I-7°de la loi du 6 janvier 1978 modifiée, applicable aux traitements comportant des données de santé, le numéro d’inscription des personnes au répertoire national d'identification des personnes physiques (NIR) ainsi que des appréciations sur les difficultés sociales des personnes.
Sur les finalités poursuivies par le traitement
La finalité du traitement est de permettre au CCAS de gérer la prise en charge des soins (médicaux, infirmiers et psychologiques) des personnes âgées dépendantes placées en structure d’accueil.
Ce traitement permet notamment de répondre aux exigences de la loi n°2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale et de la loi n°97-60 du 24 janvier 1997 tendant, dans l'attente du vote de la loi instituant une prestation d'autonomie pour les personnes âgées dépendantes, à mieux répondre aux besoins des personnes âgées par l’institution d'une prestation spécifique dépendance. 
Sur les catégories de données traitées
Les données renseignées dans le traitement concernant la personne aidée sont relatives à :
- son identité, y compris le NIR (le NIR des personnes suivies étant utilisé par le CCAS pour gérer la facturation et les échanges effectués avec la Sécurité sociale) ;
- sa situation familiale et professionnelle ;
- sa santé (soins, pathologies, antécédents familiaux, degré de dépendance) ; 
- aux difficultés sociales des personnes (difficultés financières, difficultés d’expression orale ou écrite). 
La Commission recommande que la saisie des autres items, en champ libre, soit strictement encadrée. 
Pour éviter l’enregistrement de commentaires inappropriés, et garantir que les données contenues dans les zones commentaires sont pertinentes, adéquates et non excessives au regard de la finalité du traitement, elle recommande que la mention suivante apparaisse dans les champs libres à remplir par les agents : « Seules doivent être saisies les informations susceptibles d’être pertinentes au regard du contexte. Elles ne doivent pas comporter d’appréciation subjective, ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les mœurs de la personne concernée ».
Ces données peuvent être : 
saisies directement par les agents habilités du CCAS à partir des informations communiquées par la personne concernée ou, le cas échéant, le représentant légal de la personne concernée (pour l’ensemble des données collectées à l’exception des données de santé) ;
renseignées par les partenaires médicaux et paramédicaux du CCAS (données de santé).
Sur les catégories de destinataires
Les travailleurs sociaux et les personnels habilités en charge des dossiers peuvent accéder aux données traitées, dans la stricte limite des missions qui leur sont dévolues. Il s’agit :
des partenaires médicaux et paramédicaux du CCAS,
des organismes de tutelle concernés,
de l’Agence régionale de la Santé (ARS), 
du Conseil général de la Côte d’Or.
Ce qui n’appelle pas d’observation.
Sur la durée de conservation
Les données seront conservées pendant la prise en charge de la personne. Cette durée de conservation n’appelle aucune observation de la Commission. 
Sur la sécurité
En premier lieu, la Commission rappelle que le mot de passe utilisé pour authentifier les agents habilités doit être de 8 caractères, composé de lettres, de chiffres, de majuscules, de minuscules et d’au moins un caractère spécial. Il doit être renouvelé régulièrement, c'est-à-dire au moins une fois par an.
En outre, le système de gestion des habilitations doit distinguer les agents en fonction de leurs profils et de leurs missions.
Compte tenu de la présence de données sensibles, la Commission recommande que la conservation des données précise le mécanisme d’archivage (notamment la manière dont la sortie du dispositif d’hébergement est indiquée dans l'application). 
Par ailleurs, la Commission  préconise que le CCAS :