AgentPublic/cnil huggingface dataset:
Autorise, conformément à la présente délibération, la société BRUNALP  à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1586804)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société TUI STUDENTS & SCHOOLS FRANCE   d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU-04), telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de Mme Catherine POZZO-DI-BORGO, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le groupe TUI Travel (« Touristik Union International ») auquel appartient la société TUI STUDENTS & SCHOOLS FRANCE  est le tour-opérateur britannique numéro un du tourisme en Europe. Il est présent dans plus de 180 pays.
Sur la finalité
La société TUI STUDENTS & SCHOOLS FRANCE  a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. (Délibération n°2005-305 du 8 décembre 2005). Elle observe que le traitement objet de la présente délibération répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au  fondement juridique. En effet, la société TUI STUDENTS & SCHOOLS FRANCE n’est soumise à aucune des dispositions visées par l’autorisation unique (droit français, loi «SOX» américaine du 31 juillet 2002, loi japonaise « Financial Instrument and exchange Act » du 6 juin 2006). Toutefois, le groupe auquel appartient la société TUI STUDENTS & SCHOOLS FRANCE est soumis à la loi britannique du 8 avril 2010 dite « UK bribery act » entrée en vigueur le 1er juillet 2011. Cette loi instaure un nouveau délit qui consiste à sanctionner une personne morale pour défaut de prévention de la corruption. Ainsi, selon la section 7 de la loi susvisée, s’expose  à une amende toute personne morale dans le monde                  « conduisant, même en partie, des affaires au Royaume-Uni » dont l’une des
« personnes associées » est responsable d’actes ou de tentatives de corruption, sauf pour la personne morale à démontrer qu’elle avait mis en place des « procédures adéquates » conçues pour prévenir de tels actes. Le ministère de la justice britannique a adopté des lignes directrices pour accompagner les entreprises dans leur mise en conformité à cette loi. L’une des mesures consiste à instaurer un dispositif d’alerte professionnelle (« Whistleblowing ») pour inciter les salariés à remonter des cas de corruption dont ils auraient connaissance.La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.Le champ du dispositif d’alerte professionnelle est restreint et strictement limité aux manquements graves relevant du domaine comptable, financier, bancaire, de lutte contre la corruption et de pratiques anticoncurrentielles.La Commission estime que la finalité poursuivie est légitime.
Sont destinataires de tout ou partie des données, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le personnel du prestataire extérieur et du département de l’audit de la société TUI STUDENTS & SCHOOLS FRANCE .Les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité contractuellement définie.La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
L’information est faite par la diffusion d’une note d’information aux collaborateurs sur le dispositif d’alerte professionnelle. La personne qui fait l'objet d'une alerte est informée par le responsable du dispositif dès l'enregistrement des données.  Lorsque des mesures conservatoires sont nécessaires, notamment pour prévenir la destruction de preuves relatives à l'alerte, l'information de cette personne intervient après l'adoption de ces mesures.Les représentants du personnel ont été dûment informés du traitement et de ses modalités de mise en œuvre.Le responsable de traitement garantit à toute personne identifiée dans le dispositif d'alerte professionnelle le droit d'accéder aux données la concernant et d'en demander, si elles sont inexactes, incomplètes, équivoques ou périmées, la rectification ou la suppression. Ces droits s’effectuent auprès d’une personne désignée au sein de la société TUI STUDENTS & SCHOOLS FRANCE .
Sur les mesures de sécurité
La Commission observe que le responsable de traitement fait appel à un prestataire extérieur pour recueillir les alertes auprès des salariés. Ces derniers peuvent saisir le dispositif soit via un numéro de téléphone dédié soit par le biais du site internet du prestataire. Les échanges de données réalisés par le site internet seront intégralement chiffrés afin de garantir la confidentialité des données échangées.Le prestataire met en œuvre des mesures de traçabilité permettant de recenser l’ensemble des opérations effectuées sur une alerte. Ces mesures de traçabilité concernent tant le personnel du prestataire que les salariés de la société TUI STUDENTS & SCHOOLS FRANCE .Les transmissions de données entre le prestataire et le responsable de traitement seront chiffrées au moyen du protocole HTTPS. Les modalités d’authentification des salariés du prestataire et des destinataires des alertes sont conformes aux recommandations de la Commission.L’authentification de l’émetteur de l’alerte est de nature à garantir un niveau de protection suffisant compte tenu des canaux de communication utilisés et des données accessibles.Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données. Les connexions des administrateurs seront contrôlées et ne pourront être réalisés qu’au travers d’un VPN (« Virtual Private Network »).
Autorise, conformément à la présente délibération, la société TUI STUDENTS & SCHOOLS FRANCE à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1586767)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la société CROWN BLUE LINE LIMITED d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU-04), telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de Mme Catherine POZZO-DI-BORGO, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le groupe TUI Travel (« Touristik Union International ») auquel appartient la société CROWN BLUE LINE LIMITED  est le tour-opérateur britannique numéro un du tourisme en Europe. Il est présent dans plus de 180 pays.
Sur la finalité
La société  CROWN BLUE LINE LIMITED  a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. (Délibération n°2005-305 du 8 décembre 2005). Elle observe que le traitement objet de la présente délibération répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au  fondement juridique. En effet, la société  CROWN BLUE LINE LIMITED n’est soumise à aucune des dispositions visées par l’autorisation unique (droit français, loi «SOX» américaine du 31 juillet 2002, loi japonaise « Financial Instrument and exchange Act » du 6 juin 2006). Toutefois, le groupe auquel appartient la société CROWN BLUE LINE LIMITED  est soumis à la loi britannique du 8 avril 2010 dite « UK bribery act » entrée en vigueur le 1er juillet 2011. Cette loi instaure un nouveau délit qui consiste à sanctionner une personne morale pour défaut de prévention de la corruption. Ainsi, selon la section 7 de la loi susvisée, s’expose  à une amende toute personne morale dans le monde                  « conduisant, même en partie, des affaires au Royaume-Uni » dont l’une des « personnes
associées » est responsable d’actes ou de tentatives de corruption, sauf pour la personne morale à démontrer qu’elle avait mis en place des « procédures adéquates » conçues pour prévenir de tels actes. Le ministère de la justice britannique a adopté des lignes directrices pour accompagner les entreprises dans leur mise en conformité à cette loi. L’une des mesures consiste à instaurer un dispositif d’alerte professionnelle (« Whistleblowing ») pour inciter les salariés à remonter des cas de corruption dont ils auraient connaissance.La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.Le champ du dispositif d’alerte professionnelle est restreint et strictement limité aux manquements graves relevant du domaine comptable, financier, bancaire, de lutte contre la corruption et de pratiques anticoncurrentielles.La Commission estime que la finalité poursuivie est légitime.
Sont destinataires de tout ou partie des données, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le personnel du prestataire extérieur et du département de l’audit de la société CROWN BLUE LINE LIMITED.Les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité contractuellement définie.La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l’information et le droit d’accès
L’information est faite par la diffusion d’une note d’information aux collaborateurs sur le dispositif d’alerte professionnelle. La personne qui fait l'objet d'une alerte est informée par le responsable du dispositif dès l'enregistrement des données.  Lorsque des mesures conservatoires sont nécessaires, notamment pour prévenir la destruction de preuves relatives à l'alerte, l'information de cette personne intervient après l'adoption de ces mesures.Les représentants du personnel ont été dûment informés du traitement et de ses modalités de mise en œuvre.Le responsable de traitement garantit à toute personne identifiée dans le dispositif d'alerte professionnelle le droit d'accéder aux données la concernant et d'en demander, si elles sont inexactes, incomplètes, équivoques ou périmées, la rectification ou la suppression. Ces droits s’effectuent auprès d’une personne désignée au sein de la société  CROWN BLUE LINE LIMITED.
Sur les mesures de sécurité
La Commission observe que le responsable de traitement fait appel à un prestataire extérieur pour recueillir les alertes auprès des salariés. Ces derniers peuvent saisir le dispositif soit via un numéro de téléphone dédié soit par le biais du site internet du prestataire. Les échanges de données réalisés par le site internet seront intégralement chiffrés afin de garantir la confidentialité des données échangées.Le prestataire met en œuvre des mesures de traçabilité permettant de recenser l’ensemble des opérations effectuées sur une alerte. Ces mesures de traçabilité concernent tant le personnel du prestataire que les salariés de la société CROWN BLUE LINE LIMITED.Les transmissions de données entre le prestataire et le responsable de traitement seront chiffrées au moyen du protocole HTTPS. Les modalités d’authentification des salariés du prestataire et des destinataires des alertes sont conformes aux recommandations de la Commission.L’authentification de l’émetteur de l’alerte est de nature à garantir un niveau de protection suffisant compte tenu des canaux de communication utilisés et des données accessibles.Les étapes de développement et de maintenance font l’objet de mesures de sécurité visant à garantir la confidentialité des données. Les connexions des administrateurs seront contrôlées et ne pourront être réalisés qu’au travers d’un VPN (« Virtual Private Network »).
Autorise, conformément à la présente délibération, la société CROWN BLUE LINE LIMITED  à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1547146)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Conseil général de la Corrèze d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’informatisation de la gestion des dossiers traités dans les domaines de l’aide sociale à l’enfance, de la prévention et de la protection des mineurs en danger,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 112-3 et le titre II de son livre deuxième ;
Vu le code civil, notamment ses articles 371 et suivants ;
Vu le code du patrimoine ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-3° et 25-I-7°  ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Laurence DUMONT, commissaire, et après avoir entendu les observations de  Madame Catherine POZZO Di BORGO, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Conseil général de la Corrèze dans le cadre de ses missions d’aide sociale à l’enfance et de protection des mineurs en danger prévues par le code de l’action sociale et des familles.
Sur la finalité
Le présent traitement est mis en œuvre pour informatiser la gestion des dossiers traités par le Conseil général de la Corrèze dans les domaines de l’aide sociale à l’enfance, de la prévention et de la protection des mineurs en danger.Ces missions légales attribuées aux Conseil généraux peuvent conduire à l’adoption de décisions aussi variées qu’un accueil provisoire de mineurs et jeunes majeurs, une délégation d’autorité parentale, une surveillance administrative, une mesure de placement, une action éducative en milieu ouvert, une aide éducative à domicile, l’allocation d’aides financières, une aide à la gestion du budget familial, une désignation de pupille, de tutelle d’Etat ou de tutelle aux biens, un signalement d’enfants maltraités ou à risque, etc.La Commission considère que la finalité poursuivie par le Conseil général de la Corrèze est déterminée, explicite et légitime.Elle considère qu’il y a lieu  de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements comportant des données relatives à la santé et qui sont justifiés par l’intérêt public.La Commission estime également qu’il y a lieu de faire application des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements qui portent sur des données relatives aux infractions, condamnations ou mesures de sûreté.Elle considère enfin qu’il y a lieu de faire application de l’article 25-I-7° de la
loi du 6 janvier 1978 modifiée qui soumet à la procédure d’autorisation les traitements qui comportent des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les données du présent traitement sont collectées de manière indirecte, à savoir par l’intermédiaire de la communication d’une décision de justice ou à l’initiative d’un travailleur social.
Les catégories de données collectées sont relatives à :
l’identification des personnes concernées (nom, prénom, date et lieu de naissance, nationalité, date de décès, adresse de placement, date de naissance prévue de l’enfant à naître) ;
leur vie personnelle (situation familiale, lien d’autorité parentale, femme enceinte, liens familiaux, correspondant/tuteur, tiers de confiance) ;
leur vie professionnelle (situation professionnelle, scolarité, formation, diplômes, stages) ;
des informations d’ordre économique et financier (revenus, situation financière, charges, coordonnées bancaires, dettes et impayés, biens immobiliers et capitaux, nombre de personnes au foyer, nombre d’enfants au foyer, existence d’un plan de surendettement) ;
la santé des personnes concernées (situations ou comportements à risque, motif d’un placement ou d’une action éducative en milieu ouvert) ;
des infractions, condamnations ou mesures de sûreté (lieu de placement d’un mineur en centre d’éducation renforcé ou fermé, lieu de détention d’un parent, existence d’enquêtes pénales) ;
des appréciations sur les difficultés sociales (conditions de vie et/ou d’accueil d’un enfant, suspicions de violences physiques ou psychologiques, suspicions d’abus sexuel, suspicions de négligences lourdes) ;
S’agissant des données relatives à la santé, le présent traitement ne comporte pas de données permettant de déterminer la nature d’une pathologie, d’une affection ou d’un handicap.   
S’agissant des données relatives aux infractions, condamnations ou mesures de sûreté, la Commission relève que l’article 9-1° de la loi du 6 janvier 1978 modifiée permet au Conseil général de la Corrèze de les traiter dans le cadre de ses attributions légales. Elle souligne que le présent traitement ne comporte pas les raisons ayant conduit au placement d’un mineur dans un lieu de privation de liberté ou à l’incarcération d’un parent. 
L’existence d’une enquête pénale, les suspicions de violences ou d’abus sexuels sont renseignées dans le cadre du traitement des informations préoccupantes et des signalements, le cas échéant à la suite d’une communication du Parquet lorsqu’il intervient dans l’exercice de sa mission de protection de l’enfance.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires
Les données d’identification sont transmises pour partie et chacun pour ce qui le concerne :
au personnel habilité du Conseil général de la Corrèze ;
à la paierie départementale ;
aux organismes bancaires ;
aux caisses d’allocations familiales ;
aux caisses primaires d’assurance maladie ;
aux centres médicaux-sociaux départementaux ;
aux établissements scolaires ;
aux familles ;
au personnel habilité des autorités judicaires ;
aux organismes sociaux habilités à intervenir au titre de la protection de l’enfance ;
au personnel habilité du Conseil général de la Corrèze ;
aux centres médicaux-sociaux départementaux ;
aux établissements scolaires ;
aux organismes sociaux habilités à intervenir au titre de la protection de l’enfance ;
au personnel habilité des autorités judicaires ;
aux caisses d’allocations familiales ;
aux caisses primaires d’assurance maladie ;
au personnel habilité du Conseil général de la Corrèze ;
aux établissements scolaires ;
aux organismes sociaux habilités à intervenir au titre de la protection de l’enfance ;
Les données relatives à la vie personnelle sont transmises pour partie et chacun pour ce qui le concerne :
au personnel habilité du Conseil général de la Corrèze ;
à la paierie départementale ;
aux organismes bancaires ;
aux caisses d’allocations familiales ;
aux caisses primaires d’assurance maladie ;
aux centres médicaux-sociaux départementaux ;
aux établissements scolaires ;
aux familles ;
au personnel habilité des autorités judicaires ;
aux organismes sociaux habilités à intervenir au titre de la protection de l’enfance ;
au personnel habilité du Conseil général de la Corrèze ;
aux centres médicaux-sociaux départementaux ;
aux établissements scolaires ;
aux organismes sociaux habilités à intervenir au titre de la protection de l’enfance ;
au personnel habilité des autorités judicaires ;