AgentPublic/cnil huggingface dataset:
des éléments sur la situation et les mesures prises par le service, éventuellement accompagnés de commentaires ;
les heures des différents points faits avec le responsable légal ou la personne ayant signalé la disparition.
Des données relatives aux personnes déclarant une disparition sont également collectées :
les noms, prénom(s), adresse, nationalité, langue(s) parlées(s), âge, sexe et, éventuellement, la photographie de la personne recherchée ;
un éventuel numéro de téléphone et, dans cette hypothèse, la précision que le test téléphonique a été ou non réussi ;
son origine ethno-raciale (une case doit être cochée : européen, africain, asiatique, indien, nord-africain ou « autre, à préciser ») ;
sa description physique (taille, couleurs des yeux et des cheveux) de même que les caractéristiques de ses vêtements et accessoires ;
des informations sur sa personnalité ;
le lieu et le moment de la disparition. 
la nature du lien avec la personne perdue (famille, amis, groupe, ou autre) et, le cas échéant, la nature du lien de parenté ;
le nom du ou des accompagnateurs ;
le numéro de téléphone et la précision que le test téléphone réalisé a été réussi ou non ;
l’adresse permanente  ou l’adresse temporaire (nom de l’hôtel, adresse, numéro de chambre) et, dans ce cas, les dates du séjour ;
le moyen de transport et, le cas échéant, le descriptif du véhicule et son lieu de stationnement ; 
les date et lieu d’un rendez-vous avec le service.
des éléments sur la situation et les mesures prises par le service, éventuellement accompagnés de commentaires ;
les heures des différents points faits avec le responsable légal ou la personne ayant signalé la disparition.
Une copie de la pièce d’identité de la personne déclarant une disparition est conservée. 
Les nom et prénom(s) de la personne ayant retrouvé une personne disparue sont en outre collectés, de même que le numéro de badge s’il s’agit d’un employé du parc. 
Enfin, des données relatives au responsable prenant en charge la personne retrouvée, lorsque celui-ci n’est pas la personne ayant déclaré la disparition, sont également collectées. Il s’agit de ses nom et prénom(s) et de son lien de parenté avec la personne disparue. Une copie de sa pièce d’identité est également conservée. 
Par ailleurs, le formulaire de signalement comporte :
les noms, prénom(s), adresse, nationalité, langue(s) parlées(s), âge, sexe et, éventuellement, la photographie de la personne recherchée ;
un éventuel numéro de téléphone et, dans cette hypothèse, la précision que le test téléphonique a été ou non réussi ;
son origine ethno-raciale (une case doit être cochée : européen, africain, asiatique, indien, nord-africain ou « autre, à préciser ») ;
sa description physique (taille, couleurs des yeux et des cheveux) de même que les caractéristiques de ses vêtements et accessoires ;
des informations sur sa personnalité ;
le lieu et le moment de la disparition.
la nature du lien avec la personne perdue (famille, amis, groupe, ou autre) et, le cas échéant, la nature du lien de parenté ;
le nom du ou des accompagnateurs ;
le numéro de téléphone et la précision que le test téléphone réalisé a été réussi ou non ;
l’adresse permanente  ou l’adresse temporaire (nom de l’hôtel, adresse, numéro de chambre) et, dans ce cas, les dates du séjour ;
le moyen de transport et, le cas échéant, le descriptif du véhicule et son lieu de stationnement ; 
les date et lieu d’un rendez-vous avec le service.
des éléments sur la situation et les mesures prises par le service, éventuellement accompagnés de commentaires ;
les heures des différents points faits avec le responsable légal ou la personne ayant signalé la disparition.
Ainsi, les données collectées relatives à la personne recherchée peuvent faire apparaitre, directement ou indirectement, des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée et, en particulier, le « type » ethno-racial de la personne, qui doit être systématiquement renseigné. 
A cet égard, la Commission rappelle que la collecte et le traitement  de données à caractère personnel faisant apparaître les origines raciales ou ethniques sont interdits par l’article 8-I de la loi du 6 janvier 1978 modifiée.
Si, dans les cas prévus au II du même article 8, des traitements peuvent ne pas être soumis à ce principe,  ce n’est que dans la mesure où ils portent sur des données objectives, ce qui interdit l’utilisation d’un référentiel ethno-racial.  
Cette interdiction n’exclut pas l’enregistrement de données susceptibles de relever de l’article 8 de la loi du 6 janvier 1978 modifiée et relatives à des signes physiques particuliers et objectifs permettant de distinguer la personne disparue, que l’individu procédant au signalement souhaiterait communiquer.  
Ces éléments volontairement transmis par les personnes pour décrire l’apparence de la personne disparue ne devront faire l’objet d’aucune appréciation de la part de l’agent chargé de remplir le questionnaire. 
De même, le champ du formulaire permettant de recueillir les informations relatives aux traits de caractère de la personne disparue ne doit comporter que des informations pertinentes au regard du contexte et dépourvues de tout caractère insultant.  
En outre, des données relatives à l’état de santé de la personne disparue peuvent également être collectées, telles que son état psychologique, l’existence d’un handicap mental ou la nécessité d’un traitement à prendre à heures régulières ou en cas d’urgence. 
La Commission rappelle que ces données doivent également être adéquates, pertinentes et non excessives au regard des finalités du traitement, conformément au 3° de l’article 6 de la loi du 6 janvier 1978 modifiée.
Dès lors, elles ne doivent être reprises dans le formulaire que si elles sont susceptibles d’aider les équipes opérationnelles à identifier la personne disparue ou à adapter leur conduite lors de sa découverte.
Sous ces réserves, la Commission estime qu’il s’agit de données dont la collecte est justifiée par les finalités du traitement.
Sur les destinataires
Les personnes ayant accès aux données sont les personnels habilités en charge de la coordination et de la réalisation des recherches. Les données sont par ailleurs systématiquement communiquées aux services de police pour les disparitions de mineurs et d’adultes incapables. Elles sont également transmises lorsque la personne n’a pas pu être retrouvée après deux heures de recherches dans les autres cas.La Commission estime qu’un intérêt légitime justifie l’accès de ces personnes  aux données.
Sur l’information et le droit d’accès
Une information  sur les  conditions de traitement des données collectées est prévue par voie d’affichage au sein des bureaux « Enfants perdus».La Commission rappelle que l’article 32 de la loi du 6 janvier 1978 modifiée prévoit que lorsque des données à caractère personnel sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6° de l’article 32. Le questionnaire prévu dans le cadre du dispositif étant directement rempli par un agent Disney, il appartiendra à ce dernier de rappeler oralement les prescriptions en cause ainsi que les autres informations prévues au I de l’article 32 pour lesquelles l’affichage pourrait apparaître insuffisant, en particulier le caractère obligatoire ou facultatif des réponses et la communication des données collectées aux autorités de police. Les droits d’opposition pour motifs légitimes, d’accès et de rectification s’exercent par courrier postal à l’adresse suivante :Euro Disney S.C.A – Service baby care – BP 100 – 77 777 MARNE LA VALLEE Cedex.Ces droits peuvent également s’exercer sur place, au bureau Enfants perdus où a été déclarée la personne disparue, sur présentation d’une pièce d’identité. Ces modalités d’information et d’exercice des droits des personnes apparaissent satisfaisantes.  
Sur les mesures de sécurité
Les formulaires de recherche papier ainsi que les éventuelles copies de pièces d’identités collectées dans la journée sont  conservées jusqu’au soir, dans un tiroir fermé à clé et accessible uniquement aux salariés opérant au comptoir « Enfants perdus ». En fin de journée, ces formulaires sont archivés dans une armoire à clé et accessibles uniquement aux responsables du service «enfants perdus », avant d’être détruits au broyeur au bout de quatre mois.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission relève toutefois que le formulaire de signalement est susceptible d’être communiqué par courriel. Elle rappelle dès lors que l’article 34 de la loi du 6 janvier 1978 modifiée impose au responsable de traitement de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. Cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La durée de conservation des formulaires et éventuelles copies de pièces d’identité est de quatre mois et ce, même si la personne est retrouvée très peu de temps après le signalement de la disparition.La Commission rappelle toutefois que, conformément aux dispositions du 5° de l’article 6 de la loi du 6 janvier 1978 modifiée, la durée de conservation des données ne doit pas excéder la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées ce qui, en l’espèce, exclut de dépasser la durée requise par les recherches et la prise en charge des personnes disparues. 
Autorise, conformément à la présente délibération, la société EURO DISNEY Associés S.C.A. à mettre en œuvre le traitement susmentionné.
Pour La Présidente,
Le Vice-Président délégué,
Marie-France MAZARS
(Demande d’autorisation n° 1673647 Version 1 )
La Commission nationale de l'informatique et des libertés,
Saisie par la société ALCOA ARCHITECTURAL PRODUCTS SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014 ;  
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
La société ALCOA ARCHITECTURAL PRODUCTS SAS est une société en nom collectif et est spécialisée dans le secteur d’activité de la fonderie de métaux légers.
Sur la finalité
La société ALCOA ARCHITECTURAL PRODUCTS SAS a déposé un dossier de demande d’autorisation préalablement à la mise en place d’un dispositif d’alerte professionnelle.La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. La Commission rappelle qu’un dispositif d’alerte professionnelle doit, de façon générale, être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies de remontée de réclamations des salariés.En l’espèce, le dispositif d’alerte professionnelle mis en œuvre par la société ALCOA ARCHITECTURAL PRODUCTS SAS  est dédié au traitement des signalements relatifs aux manquements dans les domaines suivants : -Bancaires, comptables et financiers (fraude comptable, financière, bancaire, détournements d’actifs) ;-Lutte contre la corruption ;-Pratiques anticoncurrentielles ;-Respect de la réglementation sur l’environnement ;-Respect de la réglementation relative à l’hygiène, la santé, la sécurité au travail et aux conditions de travail ;-Respect des règles relatives aux conflits d’intérêt ;-Divulgations d’informations confidentielles (secret de
fabrique et secret des affaires) ;-Lutte contre le harcèlement moral et sexuel ;-Lutte contre les discriminations (discriminations liées à la vie privée, à l’appartenance syndicale ou l’exercice de fonctions syndicales) ;-Violence physiques et morales ;-Respect des droits de l’homme ;-Pratiques commerciales prohibées ou trompeuses ;-Atteintes aux systèmes d’information ;Ce mode de signalement ne se substitue pas à la remontée hiérarchique classique, en ce qu’il constitue un canal de signalement alternatif pour les personnes ne souhaitant pas emprunter la voie habituelle de signalement. La Commission estime que le dispositif qui lui est présenté est limité dans son champ d’application, facultatif et qu’il répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions du 5° de l’article 7 de la loi du 6 janvier 1978 modifiée. Elle considère, dès lors, que les finalités du traitement sont en l’espèce déterminées, explicites et légitimes.
Sur les données traitées
Les catégories de données collectées sont relatives à  :
l’identité, fonction et coordonnées de l'émetteur de l'alerte ;
l’identité, fonction et coordonnées des personnes faisant l'objet d'une alerte et les éventuels témoins mentionnés ;
l’identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés ;
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement.
S’agissant du traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour l’émetteur de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l’intégrité professionnelle, voire personnelle des personnes concernées. 
La Commission prend acte qu’en l’espèce le dispositif impose que l’émetteur de l’alerte s’identifie, étant précisé que son identité est néanmoins traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
Elle note par ailleurs que le responsable du traitement n’incite pas les usagers du dispositif à émettre des alertes anonymes et qu’il s’engage, en cas d’alerte anonyme, à traiter cette dernière de façon différenciée. Les alertes anonymes peuvent en effet être traitées lorsque la gravité des faits le justifie, en présence d’éléments factuels suffisamment détaillés et, enfin, à condition de prendre des précautions particulières, telles qu'un examen préalable par son premier destinataire de l'opportunité de sa diffusion dans le cadre du présent dispositif.
Sur les destinataires
S’agissant des modalités de signalement, la Commission prend acte du fait que tout salarié de ALCOA ARCHITECTURAL PRODUCTS SAS  peut déclencher la procédure par une ligne téléphonique dédiée et par un site internet dédié.L’alerte est recueillie par le personnel en charge de la réception des alertes, le personnel en charge de la vérification interne des alertes et le directeur de l’éthique du groupe Alcoa.La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation renforcée de confidentialité, contractuellement définie.
Sur l’information et le droit d’accès
La Commission prend acte du fait que les institutions représentatives du personnel ont été informées et consultées, préalablement à la décision de mise en œuvre dans l'entreprise, sur le dispositif d’alerte professionnelle et sur les modalités de sa mise en œuvre.Les personnes concernées sont informées du dispositif, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par la diffusion du de la Charte éthique du groupe, par une note d’information sur l’intranet ainsi que par voie d’affichage.Elles sont également informées que l’utilisation de bonne foi du dispositif, même si les faits s’avèrent par la suite inexacts ou ne donnent lieu à aucune suite, n’expose son auteur à aucune sanction, mais que l’utilisation abusive du dispositif peut en revanche exposer son auteur à des sanctions disciplinaires et à des poursuites judiciaires. Une personne mise en cause par un signalement est quant à elle informée par le directeur de l’éthique du groupe  de l’existence d’une alerte à son encontre et notamment des faits reprochés et des modalités d’exercice de ses droits d’accès et de rectification. Cette information intervient dès l’enregistrement de données à caractère personnel la concernant. Néanmoins, si des mesures conservatoires doivent être prises, notamment pour prévenir la destruction de preuves relatives à l’alerte, l’information de la personne intervient après l’adoption de ces mesures. Les droits d’accès et de rectification, prévus par les articles 39 et 40 de la
loi du 6 janvier 1978 modifiée, s’exercent quant à eux, auprès du déontologue du groupe.La Commission considère que les modalités d’information et d’exercice des droits des personnes, décrites ci-dessus, sont satisfaisantes.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n°004, à savoir : 
les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites ou archivées par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
si une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu’au terme de la procédure ;
les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicables.
un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant.
les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites ou archivées par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
si une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu’au terme de la procédure ;
les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicables.
un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant.
les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites ou archivées par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
si une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu’au terme de la procédure ;
les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicables.
un contrat rédigé sur le modèle des clauses contractuelles élaborées par la Commission européenne relatives aux transferts de données de responsable de traitement à sous-traitant.
les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites ou archivées par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;