AgentPublic/cnil huggingface dataset:
S'agissant de la dématérialisation des bulletins de paie, ces  derniers ne sont pas stockés sur le CPA mais y sont simplement affichés  lorsque le titulaire du compte en fait la demande. La commission estime que ces données sont adéquates, pertinentes et  non excessives au regard des finalités pour lesquelles elles sont  collectées. Sur la durée de conservation des données : Le projet de décret énonce que les données à caractère personnel  enregistrées dans le SI-CPA sont conservées pendant toute la durée  d'ouverture du compte et jusqu'à trois ans à compter du décès du  titulaire du compte, conformément à ce qu'il est prévu pour le CPF. Le  point de départ de la durée de conservation se justifie en raison du  fait que les retraités peuvent également bénéficier des droits offerts  par le CPA. La durée de conservation est justifiée par le responsable de  traitement comme permettant de disposer des informations en cas de  contentieux mais également pour réaliser des statistiques. S'agissant du principe général de dématérialisation des bulletins de  paie, énoncé par le projet de décret en Conseil d'Etat portant  spécifiquement sur ce point, la durée de conservation des données a été  fixée à cinquante ans, à compter de la dématérialisation, ou jusqu'à  l'âge de la retraite augmentée de six ans. Le responsable de traitement a  fait part de ses difficultés à déterminer une durée de conservation et a  finalement adopté les deux durées observées sur le marché des offres de
conservation des bulletins de paie dématérialisés, jugées suffisamment  longues pour permettre une conservation des bulletins de paie couvrant  la quasi-totalité des carrières professionnelles des personnes  concernées. La commission estime que les données collectées ne sont pas  conservées sous une forme permettant l'identification des personnes  concernées, pendant une durée excédant la durée nécessaire aux finalités  du traitement. Sur les destinataires des données : Sont habilités à accéder aux données, dans les limites strictement nécessaires à l'exercice de leurs missions :
- les personnels de la Caisse des dépôts et consignations chargés de la mise en œuvre du traitement, pour la gestion du CPA ; - les agents des organismes de conseil en évolution professionnelle,  avec le consentement des titulaires et uniquement pour les données  relatives à l'utilisation des services en ligne mentionnés à l'article  L. 5151-6-11 du code du travail ; - les agents de la direction de l'animation, de la recherche, des  études et des statistiques (DARES) relevant du ministère chargé de  l'emploi et organismes qu'elle mandate à des fins de statistiques ; - les agents de la délégation générale à l'emploi et à la formation professionnelle (DGEFP) ; - les agents de la direction générale du travail (DGT) ; - les agents de la direction de la sécurité sociale (DSS) ; - les agents de la direction de la jeunesse, de l'éducation populaire et de la vie associative (DJEPVA) ; - les autres titulaires du compte, dans le cadre des échanges entre titulaires, permis par le CPA.
Interrogé sur la justification de permettre l'accès aux donnèes à la  DGEFP, la DGT, la DSS et la DJEPVA, le responsable de traitement a  indiqué que ces directions pouvaient avoir besoin d'y accéder de manière  ponctuelle, lorsque la situation d'un individu en cas d'anomalie dans  l'alimentation du CPF (DGEFP), du C3P (DGT et DSS) ou du CEG (DJEPVA).  L'accès aux données relatives à l'utilisation du CPA leur est également  nécessaire pour obtenir des indicateurs de gestion et/ou des indicateurs  pour l'amélioration de la connaissance des effets des politiques  publiques. La commission recommande que, par souci de transparence, le projet  de décret soit complété pour y faire apparaître ces compléments  d'information. Elle recommande également que le projet de décret  distingue clairement les destinataires ayant accès à des données  personnelles de ceux ayant accès à des données anonymisées. La commission prend acte du fait que les organismes proposant les  services en ligne ne disposeront que d'informations librement  renseignées et rendues accessibles dans un espace délimité (le  portfolio), par les titulaires de compte, pour recevoir les offres de  services exclusivement. Les organismes, via le CPA, n'ont communication  ni du NIR des personnes ni de donnée relative à leur identité. S'agissant de la possibilité d'utiliser des services tiers et de  partager tout ou partie des données stockées dans les espaces personnels  avec d'autres utilisateurs, la commission relève que
cette possibilité  est ouverte au titulaire s'il y consent et dans la limite des finalités  énumérées ci-dessus. La commission rappelle l'importance pour les  usagers du CPA de garder la maîtrise des usages qui sont faits de leurs  données. Elle recommande au responsable de traitement de rappeler, dans le  projet de décret, que seul le titulaire du compte peut décider de  partager ou non ses informations avec les autres titulaires et qu'à tout  moment, il peut décider de cesser le partage d'informations, aussi bien  avec les titulaires de compte qu'avec les organismes tiers fournissant  les services en ligne. La commission prend acte du fait que les informations, par défaut,  ne sont pas rendues visibles ni aux organismes tiers proposant les  services, ni aux autres titulaires de compte. Sous ces réserves, la commission estime que ces destinataires  présentent un intérêt légitime à accéder aux données du présent  traitement, dans la limite de leurs attributions et sous réserve que les  données effectivement accessibles présentent un lien direct et  nécessaire avec leurs fonctions. Sur les organismes proposant les services en ligne : La commission note que les organismes tiers fournissant les services en ligne sont sélectionnés sur appels d'offre. Ces organismes sont susceptibles d'avoir accès aux données à  caractère personnel présentes sur le compte, dans le cadre de la  fourniture de leurs services via le CPA. Considérés alors comme  responsables de traitements pour leurs
propres traitements, ils devront  réaliser les formalités déclaratives adéquates. La commission prend acte de ce que le projet de décret relatif à la  mise en œuvre du CPA a vocation à constituer un acte réglementaire  unique auquel les organismes pourront effectuer un engagement de  conformité. Elle relève également que Je projet d'acte réglementaire limite les  catégories de données auxquelles les organismes tiers peuvent avoir  accès. En effet, parmi les informations pouvant être renseignées par le  titulaire du compte dans son portfolio, peut figurer l'existence d'un  handicap éventuel, mais les organismes proposant les services en ligne  n'ont pas accès à cette information. La commission en prend acte en  relevant néanmoins que l'information, expurgée de tous détails relatifs à  la nature ou à l'origine du handicap, pourrait, le cas échéant,  constituer une information pertinente dans le cadre de certains  services, dès lors que cela peut avoir une incidence sur le type de  missions ou d'emplois qui peuvent être proposés à la personne. De même, la commission prend acte du fait que l'accès à certaines  informations relatives aux activités bénévoles est limité lorsque  celles-ci sont de nature à faire apparaître, directement ou  indirectement, des données sensibles au sens de l'article 8 de la loi du  6 janvier 1978 modifiée. Enfin, la commission souligne qu'un arrêté ministériel sera pris  pour préciser les conditions techniques d'accès aux données, par les  organismes
tiers, et qu'à cette occasion, elle sera saisie d'une demande  d'avis. Sur l'information des personnes : Les personnes bénéficient d'une information sur la mise en œuvre du  CPA au moyen d'une mention d'information, conforme à l'article 32 de la  loi du 6 janvier 1978 modifiée, présente dans le CPA. La commission est  informée du fait que l'espace public du portail CPA, accessible à tous  sur Internet, comporte un certain nombre d'informations d'ordre général  relatives au CPA, à son fonctionnement et à son utilisation. La commission considère que ces modalités d'information sont satisfaisantes. Sur les droits d'accès, de rectification et d'opposition des personnes : Les personnes sont informées de ce que leurs droits d'accès et de  rectification, prévus aux articles 39 et 40, s'exercent auprès de la  CDC. En revanche, le droit d'opposition est écarté par l'acte  réglementaire dans le cadre du présent traitement, conformément aux  dispositions de l'article 38-111. Sur la sécurité des données et la traçabilité des actions : La commission rappelle tout d'abord que le traitement étant un téléservice d'une autorité administrative au sens de l' ordonnance no 2005-1516 du 8 décembre 2005 susvisée, il doit être conforme au référentiel général de sécurité (RGS) prévu par le  décret no 2010-112 du 2 février 2010 susvisé.  Elle rappelle qu'il revient au responsable de traitement d'attester  formellement de la sécurité de celui-ci au travers d'une homologation  RGS et d'en publier
l'attestation d'homologation sur le site du  téléservice. La commission recommande également qu'une étude d'impact  sur la vie privée (PIA) soit réalisée concernant la protection de ces  données. La commission observe que les échanges de données sont réalisés via  des canaux de communication chiffrés et assurant l'authentification de  la source et de la destination. L'accès au téléservice est sécurisé au  moyen du protocole HTIPS. Concernant le recours à ce protocole, la  commission recommande d'utiliser la version de TLS la plus à jour  possible. Elle prend note que des profils d'habilitation sont prévus  afin de gérer les accès aux données. Le traitement étant hébergé et géré par la CDC au même titre que la  CPF, la commission recommande que des mesures soient prévues pour  assurer le cloisonnement entre ces traitements. La commission recommande  également que les bases de données et leurs sauvegardes soient  chiffrées. Elle appelle également à la mise en place d'une architecture  de journalisation permettant de conserver, sur une durée de six mois  (hors contraintes légales spécifiques), une trace des événements de  sécurité et du moment où ils ont eu lieu, en choisissant les événements à  journaliser en fonction du contexte, des supports (postes de travail,  pare-feu, équipements réseau, serveurs…), des risques et du cadre légal. La commission relève que l'accès au téléservice est sécurisé par la  mise en œuvre d'une authentification réalisée soit par l'intermédiaire  du
dispositif FranceConnect, soit par l'intermédiaire de mots de passe  dont la complexité est conforme aux préconisations de la commission. Elle observe que le téléservice propose à l'usager, lorsque ce  dernier ne dispose pas déjà d'un compte CPF, d'un moyen d'inscription  fondé sur la communication du patronyme et du NIR. Elle appelle à ce que  le responsable de traitement prenne des mesures organisationnelles en  conséquence afin de limiter les cas d'usurpation d'identité à la  première connexion. Enfin, elle rappelle que l'anonymisation des données qui seront  mises à disposition sous la forme de données ouvertes doit être  effective. Il conviendra donc de démontrer la conformité de la solution  et des techniques d'anonymisation mises en œuvre, aux trois critères  définis par l'avis du G 29 n° 05/2014, et de la transmettre à la  commission. A défaut, si ces trois critères ne peuvent être réunis, une  étude des risques de ré­ identification doit être menée et, en fonction  du droit national, être soumise à l'autorité de protection des données  compétente pour valider, ou non, le processus d'anonymisation proposé.  Cette étude consistera à démontrer que les risques, liés à la  publication du jeu de données anonymes, n'ont pas d'impact sur la vie  privée et les libertés des personnes concernées.
Paris, le
Monsieur le Directeur général délégué,
Je fais suite à la décision n° 2015-046 que j’ai prise le 21 mai 2015 mettant en demeure la société X, située […], ainsi qu’à votre courrier en réponse reçu le 15 juillet 2015.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que de la procédure de contrôle n° 2014-260C.
Je souhaite toutefois vous faire part des observations suivantes.
 Je tiens à vous rappeler que le statut violation des CGV , récemment créé dans votre système d’information ne saurait en aucune manière être attribué à un client pour d’autres motifs que ceux expressément autorisés par la délibération n° 2014-043 du 30 janvier 2014 relative à l’exclusion des clients.
De même, la fonctionnalité de gestion d’un multi-statut au sein de votre système d’information ne saurait conduire à attribuer à un client à la fois un statut interdit relatif à l’application d’une mesure d’interdiction administrative ou judiciaire de stade, et un statut violation des CGV qui conduirait en particulier à une exclusion des personnes au-delà de la fin de la mesure d’interdiction de stade, pour les mêmes motifs que celle-ci.
En effet, une telle situation reviendrait à prolonger la durée des mesures d’interdiction de stade prises par les autorités administratives et judiciaires compétentes, ce que seul le législateur pourrait prévoir.
Par ailleurs, vous considérez que la publication de la mise en demeure de X constitue un traitement dérogatoire pour le seul exemple . Je vous rappelle que le bureau de la Commission peut décider de rendre publique une mise en demeure, notamment lorsque les manquements en cause justifient comme en l’espèce, et dans un contexte marqué par un nombre important de plaintes, l’information du public.
Si la mise en demeure ne vise que 8 plaintes permettant d’illustrer les manquements constatés, la CNIL en a, en effet, reçu plus d’une cinquantaine.
Je vous informe par ailleurs que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
A cette fin, je vous invite à étudier avec la plus grande attention la possibilité de désigner un correspondant Informatique et Libertés qui constitue un moyen efficace de veiller à la bonne application de la loi, tout en exonérant l’organisme qui s’en est doté de toute obligation de déclaration de ses fichiers. Vous trouverez toutes les informations nécessaires sur le site Internet de la Commission (www.cnil.fr).
Le service des sanctions reste à votre disposition pour tout complément d’information.
Je vous prie d’agréer, Monsieur le Directeur général délégué, l’expression de mes salutations distinguées.
 Isabelle FALQUE-PIERROTIN
La Présidente
[…] 
RECOMMANDE AR n° 2C 099 155 3399 3
Références à rappeler dans toute correspondance :
MDM151056 - CTX 2015-060 
CTRL n° 2015-044C et n° 2015-193C
Paris, le
Monsieur le Directeur général,
Je fais suite à la décision n° 2015-063 que j’ai prise le 26 juin 2015 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que des procédures de contrôle n° 2015-044C et n° 2015-193C.
Je prends acte de ce que vous avez mis en œuvre un nombre important de mesures afin de vous mettre en conformité avec les injonctions de la mise en demeure. En effet, vous indiquez notamment avoir procédé à la suppression de la totalité des commentaires enregistrés dans votre outil antérieurement au 1er janvier 2013 et mis en place un mécanisme de détection et de suppression automatique des commentaires excessifs enregistrés entre le 1er janvier 2013 et le 31 juillet 2015. Pour les commentaires enregistrés depuis le 1er août 2015, vous procédez dorénavant à une détection automatique quotidienne des commentaires excessifs et à une analyse manuelle par un modérateur de l’ensemble des commentaires enregistrés.
En outre, s’agissant de l’information des salariés concernés quant aux bonnes pratiques à respecter en matière de zones de commentaires libres, je prends notamment acte de ce que les directeurs de vos magasins les ont reçus individuellement. Vous avez également mis en place un programme de formation de ces salariés, obligatoire et devant être renouvelé régulièrement. Je prends note que les règles à respecter sont rappelées via des messages d’alerte automatiques qui s’affichent lors de l’ouverture de chaque session utilisateur et que le modérateur notifie aux directeurs de magasins les éventuels commentaires excessifs détectés aux fins d’information et de formation des salariés concernés.
Par ailleurs, concernant les manquements relatifs aux cookies déposés sur l’équipement terminal de l’internaute qui visite votre site internet, je prends acte de ce que vous avez mis en place une solution permettant de ne déposer des cookies qu’une fois recueilli le consentement de l’internaute. S’agissant de la durée de vie de ces cookies, je prends note de ce que vous l’avez paramétrée à 13 mois pour ceux que vous déposez. Pour les cookies déposés par des tiers, vous indiquez avoir mis en demeure vos partenaires de respecter cette durée de conservation de 13 mois et leur avoir fait signer un avenant en ce sens. La mise en œuvre d’une solution spécifique vous permet également d’obtenir des rapports réguliers quant aux cookies déposés via votre site et à leur durée de vie.
S’agissant du manquement relatif à la sécurité et à la confidentialité des données, je prends acte des éléments que vous m’avez communiqués.
Enfin, je prends note de ce que vous êtes en train de procéder à un audit complet de vos systèmes d’information et que vous allez, courant 2016, désigner un Correspondant Informatique et Libertés, ce dont je ne peux que me réjouir.
Je vous informe, par ailleurs, que s’il était constaté à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Le service des sanctions reste à votre disposition pour tout complément d’information.
Je vous prie d’agréer, Monsieur le Directeur général, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
Paris, le
Monsieur,
Je fais suite à la décision n° 2015-058 que j’ai prise le 24 juin 2015 mettant en demeure la société X ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi que des procédures de contrôle n° 2014-279C, 2014-282C et n° 2014-283C.
Je note l’ajout, sur votre site internet, des mentions d’information prévues à l’article 32 de la loi Informatique et Libertés sur les formulaires d’inscription et de renseignement de profil. J’attire toutefois votre attention sur la nécessité d’insérer cette mention sur la page du formulaire de contact qui suppose également de renseigner des données à caractère personnel.
Je vous informe par ailleurs que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
Pour toute information complémentaire, vous pouvez contacter le service des sanctions (01.53.73.22.53).
Je vous prie d’agréer, Monsieur, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
Paris, le
Monsieur le Gérant, 
Je fais suite à la décision n° 2015-060 que j’ai prise le 24 juin 2015 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2014-301C.
Je prends acte des mesures mises en œuvre afin de recueillir le consentement des personnes au traitement de leurs données sensibles et dont le déploiement s’étendra à vos applications mobiles d’ici à la fin de ce mois.
Je note l’ajout, sur votre site internet, des mentions d’information prévues à l’article 32 de la loi Informatique et Libertés. J’attire toutefois votre attention sur la nécessité de rendre visible, directement sur la page de collecte de données, les informations relatives à l’identité du responsable de traitement, à la finalité poursuivie par le traitement, au caractère facultatif ou obligatoire des réponses et aux droits dont disposent les utilisateurs. En outre, pour plus de clarté concernant le recueil du consentement au traitement des données sensibles, il convient de prévoir une mention d’information distincte sur ce point.
Je vous informe par ailleurs que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement
Pour toute information complémentaire, vous pouvez contacter le service des sanctions (01.53.73.22.53).
Je vous prie d’agréer, Monsieur le Gérant, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2016-072C du 8 avril 2016 de la présidente de la Commission nationale de l’informatique et des libertés chargeant le secrétaire général de procéder ou de faire procéder à une mission de vérification portant sur tous traitements relatifs au système d’exploitation […] ;