AgentPublic/cnil huggingface dataset:
Toutefois, dans le cadre d’un suivi spécifique du jeune, la Commission recommande qu’une information individuelle, écrite ou orale, soit effectuée, lors de la première prise de contact auprès des jeunes par les coordinateurs locaux habilités, ou lors de la première saisie de données les concernant dans l’application RIO du SIEI. 
Compte tenu de la situation de rupture des élèves décrocheurs avec les établissements de formation initiale, qui justifie un accompagnement spécifique, cette information devra indiquer clairement :
que l’unique finalité de ce traitement est la mise en œuvre d’un accompagnement personnalisé ; 
qu’il est libre de répondre ou non aux questions qui lui seront posées ; 
qu’aucune décision le concernant ne sera susceptible de l’exclure du bénéfice d'un droit, d'une prestation ou d'un contrat, en l'absence de disposition législative ou réglementaire ; 
auprès de quel référent local le jeune sera susceptible d’exercer son droit d’accès, de rectification et d’opposition concernant les données relatives à son suivi par les coordinateurs locaux. 
Sur les mesures de sécurité
Conformément à la demande d’autorisation présentée à la CNIL en 2010, les coordinateurs locaux sont les seuls agents habilités à accéder aux données traitées dans le cadre de la prise en charge spécifique des jeunes concernés. Ils sont désignés sur décision expresse et intuitu personae du préfet, reçoivent personnellement, après notification de ce dernier à l’administration centrale du ministère, la clé OTP garantissant un accès sécurisé au système via l’application RIO.  Alors que leur accès était limité à la simple lecture de ces éléments, la modification proposée permettra à ces coordinateurs locaux de saisir et d’éditer les fiches d’accompagnement des jeunes concernés. Comme en 2010, la diffusion des données par le SIEI est totalement cloisonnée à l’échelle du département.  Concernant le fonctionnement du traitement, le traitement opérationnel des personnes (réinsertion, rescolarisation) étant réalisé dans l’application RIO du SIEI, et non dans les applications existantes « Parcours3 » ou académiques, la Commission demande à ce que le système  intègre les informations déjà entrées par les coordinateurs locaux dans les différentes listes du SIEI incluses à chaque campagne, afin qu’une personne « prise en charge » dans RIO ne réapparaisse pas dans le SIEI comme « sans solution d’accompagnement ». Cette mesure permettra de ne comptabiliser dans le SIEI que les jeunes « décrocheurs » ne disposant d’aucune solution d’accompagnement. Les données traitées n’alimenteront aucun
autre traitement automatisé de données. L’ensemble de ces éléments n’appelle aucune observation de la Commission.
Sur les autres caractéristiques du traitement
La modification opérée ne porte aucune modification de la durée de conservation des données. Toutefois, la Commission rappelle que les données du jeune ne doivent pas être conservées plus de deux ans après la prise en charge initiale de celui-ci.
Autorise, conformément à la présente délibération, le ministère de l’Education nationale à mettre en œuvre la modification de traitement susmentionnée.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1595434)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société APERAM INVEST France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, commissaire et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le groupe APERAM, auquel appartient la filiale APERAM INVEST France, est l’un des leaders mondiaux dans la production d’aciers spécialisés et inoxydables. Le groupe est coté à la bourse du Luxembourg, d’Amsterdam et de Paris et a pour obligation d’assurer la fiabilité de l’information financière fournie à ses partenaires financiers et investisseurs, le contrôle de ses opérations au niveau national et international et le respect des lois et des règlements en vigueur par tous ses employés.
Sur la finalité
La société APERAM INVEST France a déposé un dossier de demande d’autorisation de mise en œuvre d’un dispositif de traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. (Délibération n°2005-305 du 8 décembre 2005). Elle observe que le traitement objet de la présente délibération répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au fondement juridique. En effet, la société APERAM INVEST France n’est soumise à aucune des dispositions visés par l’autorisation unique (droit français, loi «SOX» américaine du 31 juillet 2002, loi japonaise "Financial Instrument and exchange Act" du 6 juin 2006).La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.Le champ du dispositif d’alerte professionnelle est restreint et strictement limité aux manquements graves qui s’appliquent à la lutte contre la corruption et aux domaines comptable, financier, et
bancaire.La Commission estime que le traitement répond à l’intérêt légitime du responsable du traitement.
Sur les données traitées
Les données sont identiques à celles mentionnées dans l’autorisation unique n°4, à savoir :
identité, fonctions et coordonnées de l'émetteur de l'alerte professionnelle ; 
identité, fonctions et coordonnées des personnes faisant l'objet d'une alerte ; 
identité, fonctions et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ; 
faits signalés ; 
éléments recueillis dans le cadre de la vérification des faits signalés ; 
compte rendu des opérations de vérification ; 
suites données à l'alerte.
Sur les destinataires
Sont destinataires de tout ou partie des données, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, les membres des départements « Combined Assurance » et « Audit et Risk Management » ainsi que le personnel habilité du prestataire extérieur.Les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation de confidentialité contractuellement définie.
Sur l’information et le droit d’accès
L’information est assurée par la diffusion d’une note à l’ensemble des salariés. La personne éventuellement mise en cause est informée dès l’enregistrement des données la concernant.Le salarié ayant adressé une alerte est tenu informé sur la manière dont son alerte a été traitée et sur les éventuelles mesures correctives ou les axes d’amélioration qui en résulteront. Les instances représentatives du personnel ont également été informées.Les droits d’accès et de rectification s’exercent auprès des membres du département Combined Assurance.
Sur les mesures de sécurité
La Commission observe que le responsable de traitement fait appel à un prestataire qui sera chargé de la collecte des alertes auprès des salariés. Les échanges de données réalisés par le biais du site internet du sous-traitant seront intégralement chiffrés, afin de garantir la confidentialité des données échangées.Le sous-traitant met en œuvre des mesures de traçabilité permettant de recenser l’ensemble des opérations effectuées sur une alerte.L’accès aux données fait l’objet d’une gestion des habilitations et de modalités d’authentification de nature à garantir la sécurité des données.Les autres mesures de sécurité n’appellent pas d’observation particulière de la part de la Commission.
Sur les autres caractéristiques du traitement
S’agissant des modalités de recueil de l’alerte, le salarié qui souhaite signaler un manquement dans les domaines précités peut contacter directement le secrétaire de l’Audit & Risk Management par courrier postal à l’adresse suivante : 12 C rue Guillaume Kroll, L-1882, Luxembourg, Grand Duché de Luxembourg.L’alerte peut également s’effectuer soit par téléphone, soit par un formulaire WEB. Les alertes sont alors recueillies par une société extérieure spécialisée qui dispose d’interlocuteurs francophones.L’émetteur de l’alerte professionnelle est invité à s’identifier. La Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter le risque de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées.L’identité de l’émetteur de l’alerte est traitée de façon confidentielle par les personnes chargées de la gestion des alertes. Enfin, la Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires. 
Autorise, conformément à la présente délibération, la société APERAM INVEST France à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Saisie par le ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis relative à la création d'un traitement automatisé de données à caractère personnel dénommé  Fichier national des objectifs en matière de stupéfiants  (FNOS) ;
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code des douanes, notamment ses articles 38, 414, 417, 419, 426 et 428 ;
Vu le code pénal, notamment ses articles 222-34 à 222-37 et 222-39 ;
Vu le code de la santé publique, notamment son article L.5432-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Marie COTTERET commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration a adressé à la Commission nationale de l'informatique et des libertés un projet d'arrêté relatif à la création d'un traitement automatisé de données à caractère personnel dénommé  Fichier national des objectifs en matière de stupéfiants  (FNOS).
Ce traitement, mis en œuvre conjointement par la direction générale de la police nationale (DGPN), la direction générale de la gendarmerie nationale (DGGN), la préfecture de police (PP), et la direction générale des douanes et des droits indirects (DGDDI), la direction nationale du renseignement et des enquêtes douanières (DNRED), a pour objectif de permettre et d'organiser le partage d'informations entres les services compétents en matière d'enquêtes judiciaires ou douanières pour trafic de stupéfiants ou infractions douanières relatives aux stupéfiants.
Le FNOS vise ainsi à améliorer la répression des trafics en matière de stupéfiants, à coordonner l'action des services et à rationaliser l'emploi des effectifs et des moyens en évitant que plusieurs services diligentent, de manière redondante, des enquêtes parallèles sur les mêmes personnes.
Il y a lieu de faire application des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée qui soumet à une autorisation par arrêté ministériel pris après motivé et publié de la Commission nationale de l'informatique et des libertés les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté.
Sur la dénomination et les finalités du traitement
La Commission prend acte des précisions du ministère selon lesquelles le traitement est désormais dénommé  Fichier national des objectifs en matière de stupéfiants .
Elle relève également que l'article 1er du projet d'arrêté précise désormais que le traitement a pour finalité de  coordonner l'action des services concourant à la répression du trafic de stupéfiants en répertoriant les personnes faisant l'objet d'investigations judiciaires ou douanières dans ce domaine .
Le FNOS vise à répertorier les enquêtes menées par les services de la police nationale, les unités de la gendarmerie nationale et les services de la douane dans le but de coordonner leurs actions et d'améliorer la répression des trafics en matière de stupéfiants.
Le système ne permet pas aux utilisateurs d'effectuer des recherches sur les fiches saisies par leurs collègues, mais il les alerte de l'existence de fiches comportant des éléments communs. Les alertes produites en cas d'identification d'éléments similaires dans une ou plusieurs fiches invitent ainsi les services utilisateurs à prendre contact directement entre eux.
La Commission estime que cette finalité n'appelle pas d'observation particulière.
La Commission relève toutefois que le dossier descriptif fourni en complément du projet d'arrêté mentionne que le FNOS possède, en outre, une fonction statistique entièrement automatisée permettant une mesure statistique de l'efficacité de l'outil.
Les éléments statistiques ainsi mesurables sont, sur une période donnée par service et par direction : le nombre de fiches créées, le nombre de fiches supprimées et le nombre de correspondances établies.
Dès lors, la Commission considère que cette finalité statistique devrait être explicitement mentionnée à l'article 1er du projet d'arrêté.
Compte tenu des exigences de légitimité, de pertinence et de caractère non-excessif des finalités du traitement posées notamment à l'article 6 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la Commission demande en outre à ce que le bilan ainsi que les statistiques annuelles destinées à mesurer l'efficacité du FNOS lui soient communiquées.
Sur les personnes concernées
La Commission relève que l'article 2 du projet d'arrêté prévoit que les personnes concernées sont, d'une part, les personnes faisant l'objet d'une procédure judiciaire portant sur des infractions relatives au trafic de stupéfiants ou de substances vénéneuses prévues et réprimées par les articles 222-34 à 222-37 et 222-39 du code pénal et L.5432-1 du code de la santé publique ; et, d'autre part, les personnes faisant l'objet d'une enquête douanière portant sur l'une des infractions prévues et réprimées par les articles 38, 414, 417, 419, 426 et 428 du code des douanes, lorsqu'il s'agit de produits stupéfiants d'autre part.
La Commission prend acte que seules les personnes soupçonnées de trafic de stupéfiants feront l'objet d'une inscription dans le FNOS.
Sur les données traitées
La Commission relève que l'article 2 du projet d'arrêté précise que les données à caractère personnel et informations traitées concernant les personnes suspectées sont : nom, prénom, surnom, alias, sexe, date et lieu de naissance, adresses postales et électroniques, numéros de téléphone, numéro de série du téléphone portable (numéro IMEI), marque et immatriculation des moyens de transport.
Elle observe que l'application FNOS comporte également les informations relatives aux agents ayant procédé à la création d'une fiche suivantes : matricule, nom, prénom, service ou unité d'appartenance, numéro de téléphone, et adresse électronique.
Enfin, elle relève que le traitement comporte également certaines données relatives à l'enquête et notamment, pour les enquêtes judiciaires, le nom du magistrat saisi de l'enquête ainsi que son tribunal d'appartenance.
La Commission considère que si ces données ne soulèvent pas d'observation particulière, le projet d'arrêté devrait toutefois être modifié afin de mentionner les données à caractère personnel relatives aux agents et magistrats enregistrées dans le traitement.
Sur les destinataires
La Commission relève que le projet d'arrêté prévoit, en son article 4, que seuls ont accès aux données, à raison de leurs attributions et du besoin d'en connaître, les personnes individuellement désignées et spécialement habilitées par leur supérieur hiérarchique suivantes :
- les officiers de police judiciaire affectés à la direction centrale de la police judiciaire désignés et habilités par le chef de l'office central pour la répression du trafic illicite de stupéfiants (OCRTIS) ;
- les officiers de police judiciaire affectés à la direction centrale de la sécurité publique désignés et habilités par le chef de la division des sûretés et des activités judiciaires de la sous-direction des services territoriaux ;
- les officiers de police judiciaire affectés dans les directions et services actifs de la préfecture de police chargés de la lutte contre le trafic illicite de stupéfiants désignés et habilités par le directeur de la police judiciaire de la préfecture de police ;
- les officiers de police judiciaire affectés dans les unités de la gendarmerie nationale désignés et habilités par le sous-directeur de la police judiciaire ;
- les agents affectés à la direction des opérations douanières de la direction nationale du renseignement et des enquêtes douanières, désignés et habilités par le directeur des opérations douanières.
La Commission considère que cette liste n'appelle pas d'observation particulière.
Sur la durée de conservation des données
La Commission observe que l'article 3 du projet d'arrêté prévoit que les données et informations enregistrées dans le FNOS sont conservées pendant deux ans à compter de leur enregistrement.
Elle relève, en particulier, que le projet d'arrêté précise que lorsque les personnes suspectées ne font plus l'objet d'une procédure judiciaire ou douanière, les données relatives à ces personnes sont supprimées.
Dès lors, la Commission estime que ces durées n'appellent pas d'observation particulière.
Sur les droits des personnes concernées
Conformément aux dispositions du VI de l'article 32 de la loi du 6 janvier 1978 modifiée, le projet de décret prévoit en son article 6 que les personnes concernées ne sont pas informées de la collecte de données à caractère personnel les concernant, ni de leur enregistrement dans le FNOS et ne disposent pas de la possibilité de s'y opposer.
Le projet d'arrêté prévoit également que ces droits s'exercent dans les conditions prévues à l'article 41 de la loi du 6 janvier 1978 modifiée, conformément aux dispositions de l'article 42 de la même loi, c'est-à-dire par voie indirecte en adressant une demande auprès de la Commission. 
Sur les mesures de sécurité
La Commission considère que les mesures mises en œuvre afin d'assurer la sécurité et la confidentialité des données à caractère personnel et informations traitées dans le FNOS sont satisfaisantes.
En relève en particulier que le projet d'arrêté prévoit, en son article 5, la mise en œuvre de mesures de traçabilité permettant l'enregistrement de l'identification du consultant, de la date et de l'heure, ainsi que de la nature de l'opération (création, validation, modification et suppression de fiches) pendant une durée de trois ans.
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Saisie par l'association BTP VACANCES d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d'une liste de clients et visiteurs faisant l'objet d'une mesure d'interdiction d'accéder aux villages de vacances.
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Claude DOMEIZEL, commissaire et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
 
Le responsable de traitement est l'association BTP VACANCES.
Association de tourisme agréée réservée aux membres de la profession du bâtiment et des travaux publics et à leurs proches, son activité s'inscrit dans le cadre de l'action sociale du groupe PRO BTP. L'association exploite des centres de vacances. 
Sur la finalité
La finalité du présent traitement est la mise en place d'une liste de clients et visiteurs faisant l'objet d'une mesure d'interdiction d'accéder aux villages de vacances gérés par l'association.
Les clients inscrits sur la liste d'exclusion détenue par l'association BTP VACANCES sont ceux qui ont commis un des actes suivants : agression physique ou verbale du personnel et/ou d'autres vacanciers, trouble du calme et/ou tapage nocturne, dégradation volontaire du matériel de l'établissement, non respect des capacités d'hébergement, non règlement de tout ou partie du prix, non restitution de l'hébergement à la date de fin de séjour, ou non respect du règlement intérieur. 
Les clients inscrits sur la liste d'exclusion peuvent contester la décision d'inscription sur cette liste. 
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite. 
Elle considère également qu'il y a lieu de faire application des dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat.