AgentPublic/cnil huggingface dataset:
défaut de réponse, des destinataires des informations collectées et de l'existence d'un droit d'accès, de rectification et d'opposition.   Les personnes dont les données sont issues d'un fichier loué doivent avoir été mises en mesure de s'opposer par un moyen simple et immédiat à la transmission ou à l'utilisation de leurs données par l'élu, le candidat ou le parti ou groupement à caractère politique à l'origine du message.   Dans le cadre de l'utilisation de moyen de communication par voie électronique, seules les personnes ayant préalablement consenti à être démarchées peuvent recevoir des messages de communication politique.   Les messages envoyés dans le cadre d'opérations de communication politique doivent indiquer aux personnes démarchées les modalités selon lesquelles elles peuvent utilement demander à ne plus recevoir de nouveaux messages.   Ces messages indiquent aux personnes démarchées l'origine des informations utilisées pour leur faire parvenir ce message lorsque les données n'ont pas été recueillies directement par l'élu, le candidat ou le parti ou groupement à caractère politique à l'origine du message.
Article 7 :  mesures de sécurité   Des mesures de sécurité physique et logique doivent être prises afin de préserver la sécurité des données à caractère personnel traitées, et d'empêcher notamment qu'elles ne soient déformées, endommagées ou que des tiers non autorisés y aient accès.   Article 8   La présente délibération sera publiée au Journal officiel de la République française.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu le code du travail ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment le premier alinéa du II de l'article 24 ;   Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations;
Formule les observations suivantes :   Les traitements de gestion des activités sociales et culturelles mis en oeuvre par les comités d'entreprises ou d'établissements, ainsi que par les comités centraux d'entreprises, les comités de groupe, les comités interentreprises ou les délégués du personnel sont des traitements courants qui ne sont pas susceptibles de porter atteinte à la vie privée des salariés et des membres de leurs familles.   La Commission estime, en conséquence, qu'il y a lieu de faire application des dispositions de l'article 24-II de la loi du 6 janvier 1978 modifiée et de dispenser ces traitements de toute formalité déclarative préalable dès lors qu'ils répondent aux conditions prévues aux articles 2 à 8 suivants.
Décide :   Article 1er   Sont dispensés de déclaration les traitements de données à caractère personnel qui répondent aux conditions suivantes.   Article 2 :  finalités du traitement   Le traitement peut avoir tout ou partie des finalités suivantes :   - Gestion administrative :  création et gestion de la base de données, réalisation d'états statistiques ou de listes d'ouvrants droit ou d'ayants droit, envoi du courrier ;   - Historique de l'utilisation des subventions ;   - Historique de suivi de commandes ;   - Gestion de l'activité chèque emploi ;   - Gestion des activités chèques cadeaux ;   - Gestion des activités de distribution de cadeaux ;   - Gestion des activités de billetterie, spectacles et loisirs ;   - Gestion des activités voyage et séjours ;   - Gestion des activités sportives ;   - Gestion des prêts d'ouvrages ;   - Attribution de primes de crèche, garderie, nourrice ;   - Attribution de bourses ;   - Offres promotionnelles, adhésions à des clubs de consommateurs adressées directement par le responsable du traitement.
Article 3 :  données traitées   Les données relatives à l'identification de l'employé peuvent être communiquées aux comités d'entreprise par le service de gestion des ressources humaines de l'organisme employeur.  Les données qui peuvent être transmises par le service de gestion des ressources humaines sont les suivantes :  nom, prénom, coordonnées professionnelles.   L'employé doit être dûment informé de la finalité de cette communication ainsi que de la nature des informations le concernant et des modalités prévues pour s'opposer le cas échéant à cette transmission.   L'employé s'opposant à cette transmission doit néanmoins pouvoir bénéficier des activités sociales et culturelles du comité d'entreprise dès lors qu'il fournit directement à celui-ci les données nécessaires à son inscription.   Les données traitées par les comités d'entreprises pour la réalisation des finalités décrites à l'article 2 sont :   a) pour l'identification de l'employé /   - nom, prénom, photographie (facultatif), sexe, date et lieu de naissance, coordonnées professionnelles, coordonnées personnelles (facultatif) ;   - le cas échéant, coordonnées des personnes à prévenir en cas d'urgence ;   b) pour la situation familiale :   - situation matrimoniale ;   - personnes à charge / ayants droit:  nom, prénom, sexe, date de naissance, lien avec l'ouvrant droit, nombre d'enfants ;   c) pour les éléments professionnels :   - matricule interne, date d'embauche, service, statut ;   d) pour la situation
financière :   - montants de revenus d'activité (avis d'imposition), mutuelle, prime, part fiscale ;   - références du compte bancaire.   Le recueil des informations relatives à la situation financière des personnes concernées visées par l'article 4 est facultatif et doit être présenté en tant que tel lors de la collecte des informations.   En cas de mise en place d'un système de quotient familial permettant l'évaluation et la modulation des droits de l'employé aux différentes prestations proposées par le comité d'entreprise, l'absence de communication des éléments financiers nécessaires pour établir le quotient familial ou du quotient lui-même par le salarié ne peut pas aboutir à exclure celui-ci de l'octroi d'une activité sociale et/ou culturelle.  Par conséquent, le salarié doit être informé qu'en cas de refus de sa part de produire les éléments financiers, sa contribution pourra s'élever au montant le plus élevé.   e) pour les prestations offertes   - nature de la prestation :  pour les séjours (dates de début et de fin ; lieu du séjour, none de l'organisme, coût du séjour, coût supporté par la famille ;   - montant de la prestation, type de paiement (espèces, chèques, bons d'achat), numéros des bons d'achat, références du moyen de paiement.
Article 4 :  personnes concernées   Sont concernées par le traitement les salariés employés ou ayant été employés par des organismes visés à l'article L. 431-1 du code du travail ainsi que les membres de leurs familles.   Article 5 :  destinataires des données   Seules les données visées à l'article 3 strictement nécessaires à l'accomplissement de leurs missions sont communiquées en tant que de besoin aux destinataires suivants en fonction de leurs attributions :   - pour le comité d'entreprise ou d'établissement :  secrétariat, trésorier, élus ;   - l'expert comptable (interne ou externe) du comité d'entreprise ou d'établissement le commissaire aux comptes ;   - les prestataires et fournisseurs de services et de chèques cadeaux , les organismes de voyage ;   - les résidences de vacances.   Dans le cas de gestion d'activités sociales et culturelles par d'autres institutions sociales telles que le comité central d'entreprise ou le comité interentreprises, les destinataires des données visées à l'article 3 sont strictement identifiés en fonction de leur rôle dans la programmation, la mise en place et le suivi des activités sociales et culturelles confiées à ces institutions sociales.   Article 6 :  durée de conservation   Les données visées à l'article 3 ne sont pas conservées par le service gestionnaire au-delà de la période d'admission du salarié au bénéfice des prestations sociales et culturelles sauf en ce qui concerne l'historique de l'utilisation de ces prestations et
le suivi des commandes par les salariés qui sont conservés pendant une période glissante de 2 ans maximum à compter de l'exécution de la prestation.
Article 7 :  information des personnes concernées   Les personnes concernées sont informées de l'identité du responsable du traitement, des finalités poursuivies, du caractère obligatoire ou facultatif des réponses à apporter, des conséquences éventuelles, à leur égard, d'un défaut de réponse, des destinataires des données, et de leur droit d'opposition au traitement de leurs données ainsi que de leur droit d'accès aux données les concernant et de rectification de ces données.   Cette information est délivrée à tout employé sur les formulaires de collecte, par la remise d'un document écrit ou par voie électronique.  Les personnes doivent, sur les formulaires de collecte, être mises en mesure de s'opposer, de manière simple et explicite, au traitement de leurs données.   Lorsque les données sont utilisées à des fins d'offres promotionnelles à l'exception d'opérations de prospection politique ou syndicale, les personnes concernées sont informées qu'elles peuvent s'y opposer sans frais et sans justification.   L'envoi d'offres promotionnelles par voie électronique est subordonné au recueil du consentement préalable des personnes concernées.   Dans ces deux hypothèses, les personnes doivent avoir été mises en mesure, au moment de la collecte de leurs données, de consentir, dans le cas d'une sollicitation électronique, ou de s'opposer, dans tout autre cas de sollicitation, de manière simple et explicite à une utilisation de leurs données à des fins d'offres promotionnelles.
Dans le cas d'une collecte via un formulaire, le droit d'opposition ou le recueil du consentement préalable doit s'exprimer par un moyen simple tel que l'apposition d'une case à cocher.   Article 8 :  sécurité   Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité des données visées à l'article 3 et, notamment, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.   En particulier, des mesures permettant de contrôler les accès au traitement et de sécuriser les communications des données sont mises en oeuvre, telles que le recours à des procédures de mots de passe individuels.   Article 9 :  exclusion du bénéfice de la dispense de déclaration   Tout traitement non conforme aux dispositions des articles 2 à 8 de la présente décision doit faire l'objet d'une déclaration auprès de la CNIL.   Ne peut prétendre au bénéfice de la dispense de déclaration en référence à la présente décision le traitement comportant la transmission de données visées à l'article 3 vers des pays tiers à l'Union européenne, y compris lorsque cette transmission est réalisée dans le cadre d'opérations de sous-traitance.   Article 10   La présente délibération est publiée au Journal officiel de la République française.   Le président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-8° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par la société l'Oréal SA d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité l'identification des personnes à l'occasion de la signature de documents électroniques ;   Après avoir entendu M. Hubert Bouchot, commissaire en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :   La Commission nationale de l'informatique des libertés a été saisie par la société l'Oréal SA le 13 juillet 2006 d'un dossier de formalité préalable relatif à la mise en oeuvre d'un traitement automatisé de données à caractère personnel reposant sur la reconnaissance des empreintes digitales et ayant pour finalité l'identification des personnes à l'occasion de la signature de documents électroniques.   Il y a lieu de faire application des dispositions prévues à l'article 25-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.   La société l'Oréal SA souhaite sécuriser la gestion des dossiers réglementaires élaborés en vue de la soumission aux autorités légales compétentes des produits cosmétiques fabriqués et commercialisés par les différentes marques du groupe l'Oréal.  Ces dossiers sont créés sous forme électronique et doivent être signés par la personne qui est directement responsable de leur élaboration ainsi que, le cas échéant, par les directeurs scientifiques et les responsables toxicologiques.  Dans cette perspective, l'image scannée de la signature manuscrite des personnes précitées est enregistrée sur un serveur sécurisé et doit être apposée sur les dossiers réglementaires avant leur transmission.   Afin de s'assurer de l'identité de la personne apposant sa signature sur un dossier, la société l'Oréal SA
souhaite avoir recours à un dispositif reposant sur la reconnaissance de l'empreinte digitale.  A chaque opération de signature d'un dossier, la personne doit préalablement s'identifier via son empreinte digitale pour pouvoir apposer sa signature.  Le gabarit de l'empreinte digitale des personnes souhaitant signer un document sera exclusivement stocké sur une carte individuelle détenue par chaque employé.  Les données nécessaires à l'identification de la personne et à la gestion du procédé de signature (image de la signature manuscrite, nom, prénom, fonction et entité de rattachement), à l'exclusion du gabarit de l'empreinte digitale, seront enregistrées dans des serveurs dédiés sécurisés.   L'identification de la personne souhaitant signer le document s'effectuera par une comparaison entre le doigt apposé sur le lecteur et le gabarit de l'empreinte digitale enregistré sur la carte.  Par ailleurs, une trace des opérations de signature sera conservée à titre de preuve.  L'ensemble des données sera conservé pendant cinq ans.  Les données ainsi que la carte seront néanmoins détruites en cas de départ de la personne avant ce terme.   Le dispositif présenté à la Commission reposant sur l'enregistrement du gabarit de l'empreinte digitale dans un support individuel exclusivement détenu par la personne concernée, la mise en oeuvre d'un traitement reposant sur la reconnaissance de l'empreinte digitale apparaît, en l'état actuel des connaissances sur la technologie utilisée, adaptée
et proportionnée à la finalité assignée au dispositif.
Les droits d'accès et de rectification s'exerceront auprès de la direction internationale des systèmes d'information (DISI) - service études et développement l'Oréal recherche - 14 rue Royale - 7508 Paris.   Les catégories de données à caractère personnel enregistrées seront le gabarit de l'empreinte digitale d'un doigt, l'image de la signature manuscrite, le nom, le prénom, la fonction ainsi que l'entité pour laquelle l'employé travaille.   Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les personnes habilitées de la direction internationale des systèmes d'information (DISI) - service études et développement l'Oréal recherche.   Autorise, dans ces conditions, la société l'Oréal SA à mettre en oeuvre le traitement de données à caractère personnel présenté.   Le président, Alex TURK.
Le bureau de la Commission nationale de l'informatique et des libertés, Vu la convention n° 108 du Conseil de lEurope pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 16 et 25 (5° du 1) ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu le décret n° 73-276 du 14 mars 1973 relatif au statut particulier du corps de l'inspection générale des finances modifié par le décret n° 2006-1213 du 4 octobre 2006, notamment son article 1er ;   Vu la demande d'autorisation présentée en urgence par l'inspection générale des finances ;   Vu la lettre de mission adressée au chef du service de l'inspection générale des finances le 11 octobre 2006 par le ministre de l'Economie, des Finances et de l'Industrie et le ministre délégué au Budget et à la réforme de l'Etat ;   Après
avoir entendu M. Alex TÜRK, président, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations,
Formule les observations suivantes :   Dans le cadre d'une mission relative à l'amélioration de la gestion de la prime pour l'emploi (PPE), l'inspection générale des finances (IGF) a été chargée par le ministre de l'Economie, des Finances et de l'Industrie et le ministre délégué au Budget et à la réforme de l'Etat d'établir l'ampleur des anomalies constatées dans le calcul de la PPE qui ont été mises en évidence dans un récent rapport de la Cour des comptes.   L'IGF a saisi la Commission d'une demande d'autorisation portant interconnexion de traitements automatisés mis en oeuvre par la direction générale des impôts (DGI), l'agence centrale des organismes de sécurité sociale (ACOSS), la caisse nationale d'assurance vieillesse (CNAV), les caisses de la mutualité sociale agricole (MSA) et les caisses d'allocations familiales (CAF) dans le but de calculer un taux national d'anomalie de calcul de la PPE.   Compte tenu de l'urgence de la saisine, la Commission a fait application des dispositions de l'article 16 de la loi du 6 janvier 1978 permettant au bureau d'autoriser, dans cette hypothèse, la mise en oeuvre de traitements relevant du champ d'application de l'article 25 et de la compétence de la formation plénière de la Commission.   Le traitement envisagé vise à recouper, pour un échantillon de 3 400 foyers fiscaux bénéficiaires de la PPE répartis sur 2004 ou 2005, les éléments pris en compte dans le calcul de la prime - le montant des revenus, le temps de travail, la
situation familiale (ou du foyer fiscal) et le nombre d'enfants à charge - tels qu'ils ont été déclarés à la DGI avec les informations de même nature reçues par l'administration fiscale dans le cadre des déclarations annuelles de revenus imposables des tiers déclarants et celles dont les organismes de sécurité sociale précités disposent dans leurs traitements.   Les données utilisées pourront provenir :   - du traitement SIR/FLR de la DGI qui vise à rapprocher le contenu des déclarations de revenus des déclarations annuelles de revenus imposables transmises notamment par les employeurs et organismes de sécurité sociale, pour l'ensemble des données précitées enregistrées au nom des foyers fiscaux faisant partie de l'échantillon ;   - du traitement SNV2 de l'ACOSS, pour ce qui concerne le total des rémunérations et le nombre d'heures travaillées déclarées par les employeurs auprès des centres nationaux chargés de la gestion des offres de simplification des obligations sociales (ex.  : chèque emploi service universel, prestation d'accueil du jeune enfant, chèque emploi très petites entreprises, titre emploi occasionnel...) ;   - du traitement CRISTAL des CAF, pour la situation matrimoniale et le nombre d'enfants à charge ;   - des traitements d'identification des allocataires et de gestion des prestations familiales de la caisse centrale et des caisses locales de la mutualité sociale agricole, pour la situation matrimoniale et le nombre d'enfants à charge ;   - du traitement
d'immatriculation des travailleurs étrangers de la CNAV, pour la situation matrimoniale et le nombre d'enfants à charge.
L'interconnexion s'effectuera sur la base d'un fichier transmis aux organismes sociaux pour le compte de l'IGF, qui comportera exclusivement les nom, prénoms, date de naissance, numéro d'inscription au répertoire national d'identification des personnes physiques de l'INSEE (NIR) et adresse (pour l'année considérée) des personnes inclues dans l'échantillon.   Le bureau de la Commission observe que l'enregistrement du NIR dans les traitements ainsi mis en relation est déjà autorisée, notamment pour la réalisation de traitements statistiques.   Dès lors, le bureau considère que le traitement relève de la procédure prévue à l'article 25 de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation par la CNIL les traitements automatisés qui ont pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents.
Le bureau de la Commission prend acte   - de la finalité d'ordre exclusivement statistique du traitement, qui ne pourra en aucun cas conduire au contrôle de la situation individuelle des bénéficiaires concernés pour lesquels un écart entre la PPE versée et la PPE à laquelle ils pouvaient légalement prétendre aura été relevé,   - que les données personnelles relatives à la constitution de l'échantillon ou transmises par l'IGF sur support informatique ou papier aux fins de l'interrogation des organismes de sécurité sociale ne feront l'objet d'aucune autre utilisation et seront retournées à l'IGF dès après leur exploitation,   - que les données personnelles collectées et les résultats de leur rapprochement par l'IGF ne feront l'objet d'aucune transmission à des tiers,   - qu'ils ne seront conservés sous une forme nominative que jusqu'à la fin de la période d'exploitation des données personnelles, et au plus tard jusqu'au 15 décembre 2006.   Dans ces conditions, le bureau de la Commission autorise la mise en oeuvre par l'inspection générale des finances d'une interconnexion temporaire entre les fichiers de la DGI, de l'ACOSS, des CAF, des caisses de MSA et de la CNAV ayant pour finalité le calcul d'un taux national d'anomalie de calcul de la prime pour l'emploi.   Le président Alex TURK.