AgentPublic/cnil huggingface dataset:
Des transferts de données à caractère personnel sont susceptibles d’avoir lieu dans le cadre des actions de coopération entre le Haut Conseil du Commissariat aux Comptes (H3C) et son homologue américain, le Public Company Accounting Oversight Board (PCAOB).
Ces actions s’inscrivent dans le cadre de la coopération prévue par les textes européens relatifs au contrôle des comptes annuels et des comptes consolidés – en l’occurrence, les dispositions de la Directive 2006/43/CE dont l’article 47 dispose que, « sous certaines conditions », un Etat membre peut autoriser la communication à l’autorité compétente d’un Etat tiers de documents d’audit ou d’autres documents détenus par les contrôleurs légaux des comptes. 
Ces conditions sont au nombre de trois :
-L’adoption d’une décision d’adéquation octroyée par la Commission européenne au système de supervision étranger ; 
-le respect du chapitre 4 de la Directive 95/46 relative à la protection des données ;
-la conclusion d’un accord de coopération entre les autorités compétentes.
La Commission européenne a adopté la décision d’adéquation requise le 1er septembre 2010, puis une seconde fois le 11 juin 2013. A titre exceptionnel, il a été considéré que le cadre juridique ainsi constitué rendait possible le déroulement d’inspections communes entre les autorités nationales de l’Union européenne, dont le H3C, et le PCAOB. L’envoi de documents dans le cadre d’une coopération classique se double donc, de manière transitoire, par la faculté d’organisation d’enquêtes conjointes sur le sol français, qui pourront conduire à la communication de documents à l’autorité américaine.
Dans ce contexte, le H3C et le PCAOB ont conclu un accord de coopération le 31 janvier 2013. Cet accord organisait les modalités d’échange d’informations entre le H3C et le PCAOB en prévoyait des contrôles conjoints de cabinets d’audit soumis à la surveillance de ces deux autorités.  
A cet accord de coopération global (dit « SOP ») est annexé un accord relatif aux transferts de données à caractère personnel, également signé des deux parties. Ces deux accords comportent de nombreuses garanties pour les personnes dont les données sont susceptibles d’être transférées.
Au vu de celles-ci, la Commission avait délivré au H3C une autorisation de transférer des données concernées au PCAOB sur le fondement de l’article 69 alinéa 8 de la loi du 6 janvier 1978 modifiée, une première fois le 29 novembre 2012 (délibération n°2012-415) puis une seconde fois le 11 juillet 2013 (délibération n°2013-214).
La Commission européenne, par une décision du 14 juillet 2016, a réitéré la décision d’adéquation requise afin de poursuivre l’examen du mécanisme de coopération entre les autorités compétentes des Etats membres et le PCAOB et d’évaluer les progrès réalisés en vue de l’établissement d’une confiance mutuelle. La décision d’adéquation  couvre une période allant de six ans : du 1er aout 2016 au 31 juillet 2022.
Le collège du Haut conseil souhaite renouveler l’accord signé avec le PCAOB afin de permettre la poursuite de la coopération engagée en 2013 et, plus particulièrement, l’échange d’informations dans le cadre du suivi des actions correctrices et la mise en œuvre d’un second cycle de contrôles conjoints. Le Collège du Haut conseil souhaite fixer à trois ans la durée de la coopération afin qu’un point d’étape soit réalisé à l’issue de ce délai.
Le renouvellement de cet accord de coopération est également l’occasion d’une mise en conformité de ses dispositions avec d’une part, l’ordonnance n°2016-315 du 17 mars 2016 transposant la directive 2006/43/CE modifiée relative aux contrôles légaux des comptes annuels et des comptes consolidés et d’autre part, le règlement européen n°537/2014 du 16 avril 2014 relatif aux exigences spécifiques applicables au contrôle légal des comptes des entités d’intérêt public.
Les principales modifications de l’accord portent sur la référence aux nouvelles compétences du Haut conseil en matière d’enquête et de sanction et l’insertion à la fois de garanties relatives à la protection des intérêts commerciaux de l’entité contrôlée et de dispositions liées à l’élargissement du champ des autorités avec laquelle le Haut conseil peut partager des informations confidentielles.
Les modifications de l’accord relatif au transfert des données personnelles concernent uniquement la mise à jour des références aux textes juridiques et le changement de la date de l’accord.
Dans ces conditions, la Commission autorise le Haut Conseil du Commissariat aux Comptes à mettre en œuvre le transfert, vers son homologue américain, de données à caractère personnel contenues dans des informations et/ou des documents d’audit relatifs aux contrôleurs légaux des comptes qui relèvent de la compétence des deux autorités, ou collectées à l’occasion de contrôles conjoints dans une période se terminant au 31 juillet 2019.
Pour la Présidente 
Le Vice-Président délégué
Marie-France MAZARS
(Demande d’autorisation n° 1917978
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil départemental de la Charente Maritime d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité  la gestion des demandes et des renouvellements des agréments des accueillants familiaux pour personnes âgées et handicapées et le contrôle et suivi médico-social des personnes accueillies
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu les articles R441-1 et L441-1 et suivants du Code de l’action sociale et des familles ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et  aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement.
Formule les observations suivantes :
Responsable du traitement
Le Conseil départemental de la Charente Maritime
Sur la finalité
Le traitement automatisé de données a pour finalités :
la gestion des demandes et des renouvellements des agréments des accueillants familiaux (évaluation des conditions matérielles et des aptitudes du candidat) ;
le contrôle des accueillants familiaux agréés (conditions matérielles, morales et sanitaires) ;
le suivi social et médico-social des personnes accueillies ;
la gestion du pré-contentieux.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes.
Sur les données traitées
A titre liminaire, la Commission rappelle que des données à caractère personnel ne peuvent être collectées que si elles sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie. 
Les catégories de données collectées auprès des candidats à l’agrément des accueillants familiaux et des accueillants familiaux agréés sont relatives :
à l’identification des personnes (nom, prénom, adresse,  date et lieu de naissance, copie de la carte d’identité des personnes majeures vivant au domicile et livret de famille) ;
à la vie personnelle (situation familiale, habitudes de vie, copie du permis de conduire pour le remboursement des frais de déplacement de l’accueillant à des formations organisées par le département, caractéristiques du logement d’accueil, attestation d’assurance responsabilité civile concernant le logement) ;
aux données bancaires pour les personnes agréées (RIB pour le remboursement des frais de déplacement) ;
à la vie professionnelle (situation professionnelle, scolarité, formation, expérience(s) antérieure(s)) ;
aux informations d’ordre économique et financier (revenus,   situation financière) ;
aux infractions et condamnations (extrait du casier judiciaire en application des dispositions de l’article 421-3 du code de l’action sociale et des familles) ;
aux appréciations sur les difficultés sociales (en application de l’article L441-1 du code de l’action sociale et des familles) ;
à l’état de santé (certificat médical attestant que l’état de santé du demandeur n’est pas incompatible avec l’accueil des personnes âgées ou des personnes adultes handicapées).
à l’identification (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (habitudes de vie, situation familiale) ;
à la vie professionnelle (expériences professionnelles antérieures) ;
aux informations d’ordre économique et financier (situation financière, revenus) ;
aux appréciations sur les difficultés sociales ;
aux conditions matérielles de l’accueil ; 
à l’état de santé (pathologie, affection, données relatives aux soins, situation ou comportements à risques, besoins en équipement).
Les données collectées auprès des personnes accueillies lors des contrôles réalisés sont relatives :
à l’identification des personnes (nom, prénom, adresse,  date et lieu de naissance, copie de la carte d’identité des personnes majeures vivant au domicile et livret de famille) ;
à la vie personnelle (situation familiale, habitudes de vie, copie du permis de conduire pour le remboursement des frais de déplacement de l’accueillant à des formations organisées par le département, caractéristiques du logement d’accueil, attestation d’assurance responsabilité civile concernant le logement) ;
aux données bancaires pour les personnes agréées (RIB pour le remboursement des frais de déplacement) ;
à la vie professionnelle (situation professionnelle, scolarité, formation, expérience(s) antérieure(s)) ;
aux informations d’ordre économique et financier (revenus,   situation financière) ;
aux infractions et condamnations (extrait du casier judiciaire en application des dispositions de l’article 421-3 du code de l’action sociale et des familles) ;
aux appréciations sur les difficultés sociales (en application de l’article L441-1 du code de l’action sociale et des familles) ;
à l’état de santé (certificat médical attestant que l’état de santé du demandeur n’est pas incompatible avec l’accueil des personnes âgées ou des personnes adultes handicapées).
à l’identification (nom, prénom, adresse, date et lieu de naissance) ;
à la vie personnelle (habitudes de vie, situation familiale) ;
à la vie professionnelle (expériences professionnelles antérieures) ;
aux informations d’ordre économique et financier (situation financière, revenus) ;
aux appréciations sur les difficultés sociales ;
aux conditions matérielles de l’accueil ; 
à l’état de santé (pathologie, affection, données relatives aux soins, situation ou comportements à risques, besoins en équipement).
Pour éviter l’enregistrement de commentaires inappropriés, et garantir que les données contenues dans ces zones de commentaires soient pertinentes, adéquates et non excessives au regard de la finalité du traitement, la Commission recommande que la mention suivante apparaisse dans les champs libres à remplir par les agents : «  Seules doivent être saisies les informations susceptibles d’être pertinentes au regard du contexte. Elles ne doivent pas comporter d’appréciation subjective, ni faire apparaître, directement ou indirectement l’appartenance ou la non-appartenance, vraie ou supposée, à une ethnie, une nation, une prétendue race ou une religion déterminée, les opinions politiques ou philosophiques, les appartenances syndicales ou les mœurs de la personne concernée, ou être relatives à la santé ou à la vie sexuelle de celle-ci ».
Cependant, les opinions religieuses peuvent être recueillies sous réserve d’être collectées auprès des personnes concernées ou de leurs représentants légaux, après le recueil d’un consentement exprès et d’être strictement nécessaires à une prise en charge adaptée et respectueuse des convictions des personnes concernées.
La Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée, dès lors qu’elles s’avèrent nécessaires et proportionnées dans le cadre du présent traitement.
Compte tenu de la nature des données collectées, la Commission considère qu’il y a lieu de faire application des dispositions des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives aux infractions.
En outre, dans la mesure où le traitement peut comporter des appréciations sur les difficultés sociales des personnes, il y a également lieu de faire application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée.
Enfin, il convient de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, justifiés par l’intérêt public portant sur des données relatives à la santé.
Sur les destinataires
Peuvent avoir accès aux données, les personnes et organismes qui, en raison de leurs fonctions et des missions qui leur sont confiées, participent au suivi et à l’accompagnement des personnes concernées, dans la limite des seuls cas les concernant et des seules informations nécessaires à l’accomplissement de leurs missions. Il s’agit :
Des personnes des services départementaux habilités à traiter les dossiers ;
Pour les personnes handicapées, les organismes conventionnés avec le département ;
Les organismes de formation pour les données d’identification des personnes agréées
La liste des accueillants familiaux avec leurs accords transmis aux particuliers ou organismes cherchant une place en famille d’accueil familial.
La Commission considère que ces destinataires ont un intérêt légitime à connaître ces données.
Sur l’information et le droit d’accès 
Les personnes sont informées conformément à l’article 32 de la loi du 6 janvier 1978 par des mentions figurant sur le questionnaire de collecte, sur le site internet du Conseil départemental et par voie d’affichage. Les droits d’accès et de rectification s’exercent auprès du Président du Conseil départemental de la Charente Maritime. La Commission considère ces modalités d’information et d’exercice des droits des personnes comme suffisantes.Elle rappelle néanmoins que l’information délivrée aux personnes doit être adaptée à leur état.
Sur les mesures de sécurité
Pour les données saisies, l’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux. Les habilitations d’accès au système d’information sont définies en fonction des missions strictes des utilisateurs. La Commission prend acte que les données sont conservées sous format papier et numérique.Des dispositifs de sécurité sont mis en place pour sécuriser les locaux (vidéosurveillance et badges d’accès, accueil physique filtrant et armoire sécurisée).Les mesures de sécurité mises en œuvre n’appellent pas d’observation de la part de la Commission. 
Sur les autres caractéristiques du  traitement 
Les données sont conservées : 
pour les candidats à l’agrément pendant toute la durée de la procédure de l’agrément. En cas de refus, d’abrogation ou de non renouvellement, cette durée est étendue à 3 ans. 
pour les accueillants familiaux pendant toute la durée de l’agrément et pendant une durée complémentaire de six ans en archivage intermédiaire.
Pour les données liées à la formation obligatoire des accueillants familiaux  pendant  toute la durée de la formation et pendant une durée complémentaire de dix ans en archivage intermédiaire.
pour les personnes accueillies pendant toute la durée de la période d’accueil et pendant une durée complémentaire de dix ans en archivage intermédiaire.
A l’issue de ces durées de conservation, les données sont purgées après échantillonnage versé aux archives départementales.
pour les candidats à l’agrément pendant toute la durée de la procédure de l’agrément. En cas de refus, d’abrogation ou de non renouvellement, cette durée est étendue à 3 ans. 
pour les accueillants familiaux pendant toute la durée de l’agrément et pendant une durée complémentaire de six ans en archivage intermédiaire.
Pour les données liées à la formation obligatoire des accueillants familiaux  pendant  toute la durée de la formation et pendant une durée complémentaire de dix ans en archivage intermédiaire.
pour les personnes accueillies pendant toute la durée de la période d’accueil et pendant une durée complémentaire de dix ans en archivage intermédiaire.
A l’issue de cette durée de conservation, les données seront  détruites.
Ces durées de conservation n’appellent pas d’observation de la part de la Commission.
La présente délibération abroge la délibération n° 2016-298 du 29 septembre 2016.
Autorise, conformément à la présente délibération, le Conseil départemental de la Charente Maritime à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président Délégué
Marie-France MAZARS
(demande d’autorisation n° 915438)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Université de Lille 2  d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’une étude épidémiologique portant sur la mortalité des anciens salariés de Métaleurop Nord ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-2°, 53 et suivants ;
Vu le code du patrimoine, notamment ses articles L. 213-1 à L. 213-8 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 98-37 du 16 janvier 1998 autorisant l'accès aux données relatives au décès des personnes inscrites au Répertoire national d'identification des personnes physiques dans le cadre des recherches dans le domaine de la santé ;
Vu l’avis favorable du Comité de Consultatif pour le traitement de l’Information en matière de recherche dans le domaine de la santé du 10 juin 2015  ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des Libertés a été saisie par l’Université de Lille 2 (ci-après « l’Université »), d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la réalisation d’une recherche dans le domaine de la santé.
Le présent projet consiste en une étude épidémiologique sur la mortalité des salariés de l’entreprise Métaleurop Nord (ci-après « l’entreprise ») et l’incidence de l’exposition professionnelle au plomb, menée dans la région  Hauts-de-France, pendant une période de trois ans.
L’enquête concerne les sujets masculins, de nationalité française et ayant travaillé au moins un an sur le site de Noyelles-Godault entre 1968 et 2003. Au total, 6 000 personnes sont concernées par l’étude. Cette cohorte d’anciens salariés sera comparée à la population masculine de l’ancienne région Nord Pas-de-Calais.
A cette fin, le traitement de données à caractère personnel projeté prévoit la collecte d’informations à partir des archives administratives de l’entreprise consultables aux Archives nationales du monde du travail (ANMT) à Roubaix, des dossiers de service de médecine du travail ainsi que des ressources du Centre d'épidémiologie sur les causes médicales de décès (CépiDC) et du répertoire national d’identification des personnes physiques (RNIPP).
La Commission relève que le Comité consultatif pour le traitement de l’information en matière de recherche dans le domaine de la santé (CCTIRS), saisie par l’Université, a émis, le 10 juin 2015, un avis favorable à l’étude. Des remarques relatives à la méthodologie de l’étude ont été prises en compte par le responsable de traitement.
L’association « Chœurs de fondeurs », regroupant des anciens salariés de l’entreprise, est à l’origine de cette étude, mais ne participe pas à la collecte des données. Un financement pour cette étude a été accordé par le Conseil régional, dans le cadre du programme « Santé Environnement Société ».
Sur la finalité du traitement :
La finalité du projet objet de la présente demande d’autorisation est d’étudier la mortalité des salariés en :
décrivant la mortalité des salariés de l’entreprise entre 1968 et 2013 ;
comparant la mortalité des salariés de l’entreprise à celle de la population régionale de référence ;
comparant, au sein de l’entreprise, la mortalité des salariés exposés et celle de salariés non exposés.
Cette connaissance, fondée notamment sur le traitement d’archives de fonds privés, permettrait de mieux connaître les sur-risques potentiels liés à l’exposition professionnelle au plomb ainsi que l’impact sur la santé des expositions professionnelles survenues dans cette entreprise. 
Le présent traitement n’a pas vocation à être utilisé pour prendre des décisions à l’égard des personnes concernées. La Commission relève que ces archives ne sont pas encore communicables et que l’accès à celles-ci est soumis à l’avis préalable du service d’archives compétent. 
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime au sens de l’article 6-2° de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après « loi Informatique et Libertés »). Elle estime que celle-ci n’est pas incompatible avec la finalité initiale de la collecte.
Sur la nature des données traitées :
Concernant la cohorte de salariés, les catégories de données traitées concernent leur identité afin d’obtenir leur statut vital (nom patronymique, nom d’usage, trois prénoms, sexe, date et lieu de naissance, pays de naissance, commune de naissance), leur cursus professionnel au sein de l’entreprise afin de mieux connaître les expositions professionnelles des salariés, des données de santé afin de mieux apprécier les expositions professionnelles (suivis biologiques des expositions, imprégnation aux métaux, tabagisme), et, le cas échéant, leurs causes de décès.
La Commission prend acte de la renonciation à collecter la date de naturalisation, le numéro de boîte administrative et le recueil du parcours professionnel après la sortie de l’entreprise. Seules les données pertinentes pour la recherche seront traitées.
Sur les modalités de la collecte :
Le protocole de l’étude ainsi que les documents produits à l’appui de la demande d’autorisation prévoient que les données sont issues de trois sources : les archives de l’entreprise conservées auprès des ANMT, les dossiers de médecine du travail des ex-salariés de Métaleurop Nord détenus par l’Association Santé Travail 62 59, le RNIPP géré par l’Institut national de la statistique et des études économiques (INSEE) et le CépiDC géré par l’Institut national de de la santé et de la recherche médicale (INSERM).