AgentPublic/cnil huggingface dataset:
Ces nouvelles dispositions doivent permettre, à partir des données de la déclaration préalable à l'embauche que lui transmet l'organisme mentionné à l'article R. 1221-3, que la Caisse nationale d'assurance vieillesse des travailleurs salariés puisse vérifier que le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) ou le numéro identifiant d'attente (NIA) du salarié porté sur ladite déclaration correspond bien aux données d'état civil qui figurent sur cette même déclaration.
Le projet de décret précise qu'en cas d'absence de NIR ou NIA, ou en cas de NIR ou NIA erroné dans la DPAE, la Caisse nationale d'assurance vieillesse des travailleurs salariés renvoie à l'organisme mentionné à l'article R. 1221-3 un bilan d'identification comprenant, lorsqu'elle a pu retrouver celui-ci, le NIR ou le NIA à utiliser. L'organisme mentionné à l'article précité avise l'employeur de la disponibilité de ce bilan d'identification afin que, notamment, il rectifie ou complète les données transmises dans la déclaration sociale nominative.
La Commission relève que cette finalité permet une fiabilisation des données NIR et NIA transmis, et qu'elle est donc légitime.
Sur les données traitées (articles 1 et 2 du projet de décret et article 1er du projet d'arrêté filtre qui renvoient au  tableau annexé) :
L'article 3-II du décret du 28 mars 2013 décline les six catégories de données qui sont traitées dans le cadre du dispositif DSN :
1° Les données relatives à l'identification du salarié ; 2° Les données relatives à l'identification de l'émetteur ; 3° Les données relatives à l'identification de l'employeur ; 4° Les données relatives à la situation professionnelle du salarié, qui comportent les informations contenues dans son contrat de travail ; 5° Les données relatives au détail de la rémunération mensuelle du salarié ; 6° Les informations relatives aux événements qui surviennent pendant la période déclarée, notamment les dates de début et de fin d'arrêt de travail pour cause d'accident ou de maladie non professionnelle, de congé de maternité, paternité ou d'adoption.Les articles 1-B et 2-B du projet de décret ajoutent les données qui sont traitées dans le cadre de la phase 2, à savoir : l'assiette, les cotisations et les contributions sociales dues au titre de rémunérations, dont l'employeur est redevable.
Par ailleurs, le projet d'arrêté soumis à la Commission (article 1-4ème alinéa) précise les données relatives aux rémunérations versées transmises par les employeurs par l'intermédiaires de la CNAV, des URSSAF et des caisses générales de sécurité sociale.
Le tableau annexé au projet d'arrêté liste les données traitées et les catégories de destinataires habilités à les recevoir. La Commission relève que les nouvelles données recueillies pour la mise en œuvre de la phase 2 sont notamment les suivantes :-	Pour les données relatives à l'identité du salarié : adresse mél, numéro technique temporaire (pour les salariés sans NIR ni NIA) ;-	Pour les données relatives au contrat ou à la relation de travail : Type de contrat de travail, numéro du contrat, date de début et date de fin prévisionnelle et motif de recours à un contrat à durée déterminée ou contrat de mission, libellé de l'emploi, Code profession et catégorie socioprofessionnelle et code complément(PCS-ESE), salaire de référence prévu par le contrat, lieu de travail (SIREN, SIRET, adresse, APET), Taux de déduction forfaitaire spécifique pour frais professionnels, affiliation à une caisse professionnelle de congés payés, motif d'exclusion du dispositif DSN Identification des salariés détachés, expatriés ou frontaliers et type de rémunération pour l'assurance chômage des expatriés, Durée de travail applicable  (contrat, entreprise, unité de mesure) Identification du régime de base d'assurance maladie (dont Alsace-Moselle) et du régime de base du risque vieillesse, Données de gestion des  contrats complémentaires ou supplémentaires collectifs (dont portabilité du contrat), Données de gestion de l'assurance-chômage pour les employeurs publics (dont statut d'emploi du salarié et
type de gestion) ;-	Pour les données relatives à l'arrêt de travail : date de fin prévisionnelle, date de début et de fin de subrogation, date de l'accident ou de la première constatation médicale de la maladie ;-	Pour les données relatives à la rupture, au transfert ou à la suspension du contrat de travail : date de la fin ou du transfert du contrat ou de la relation de travail, Caractéristiques de la rupture : motif, date de la notification, de la signature de la rupture conventionnelles ou d'engagement de la procédure de licenciement, transaction ;-	Pour les données relatives à la rémunération et au versement : Rémunération nette fiscale, période de paie, Montant et caractéristique de la  rémunération versée, nombre d'heures supplémentaires, d'équivalences, d'habillage et de déshabillage, caractéristiques des autres éléments de rémunérations versées (type, montant, période, contrat), avantages en nature, frais professionnels, épargne salariale, sommes versées par les tiers (type, montant, période), décompte de l'activité .
Bien que cette liste soit très détaillée, la Commission relève que ces données correspondent aux informations figurant sur les documents qui sont déjà communiqués aux destinataires susvisés, par les employeurs. 
Elle relève en outre qu'aucune donnée sensible au sens de l'article 8 de la loi du 6 janvier 1978 modifiée ne sera collectée ou traitée.
Elle considère que les données transmises sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. 
Sur les destinataires (article 2-III du projet de décret et article 2 et tableau du projet d'arrêté) :
En phase 1, seuls étaient destinataires, pour les besoins exclusifs des missions qui leur sont confiées, les agents individuellement désignés et spécialement habilités de la Caisse nationale de l'assurance maladie des travailleurs salariés (CPAM et CGSS), de Pôle Emploi, des caisses de MSA, de la DARES et des organismes de prévoyance collective obligatoire concernant leurs assurés.
La Commission relève qu'il en est de même pour la phase 2 : ainsi, la liste des destinataires est complétée des agents des URSSAF et CGSS, des organismes complémentaires, et de l'INSEE.
La Commission prend acte que les données à caractère personnel traitées dans la DSN ne seront transmises qu'aux partenaires ayant signé une convention de partenariat avec le GIP-MDS.
La Commission recommande par ailleurs que les destinataires des données indiquent clairement, le cas échéant, lors des nouvelles formalités préalables qu'ils effectueront auprès de la CNIL, s'ils sont susceptibles de réutiliser les données sociales issues de la DSN dans les traitements automatisés de données ayant notamment pour finalité la gestion de la lutte contre la fraude. 
Sur les durées de conservation :
La Commission prend acte que les dispositions du décret du 28 mars 2013 s'appliquent aux nouvelles données, et selon les mêmes modalités. 
Ainsi qu'elle l'avait mentionné dans sa délibération du 15 novembre 2012, ces durées n'appellent pas d'observations. 
Sur les droits des personnes 
La Commission prend acte qu'aucune disposition n'encadre le droit à l'information ni les droits d'accès et de rectification.
S'agissant du droit à l'information des personnes concernées, la Commission insiste sur la nécessité de définir les modalités d'information des salariés dont l'employeur recourt à la DSN. 
Ceux-ci seront clairement informés, de manière systématique et individuelle, notamment via l'envoi d'une information écrite individuelle, par courriel ou par courrier joint à leur fiche de paie par exemple.
S'agissant des droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, le portail www.net-entreprise.fr précisera auprès de quel organisme gérant les données à caractère personnel issues de la DSN le droit d'accès pourra s'exercer.
Dans la délibération n°2012-403 du 15 novembre 2012, la Commission prenait acte du fait que le ministère avait indiqué que les salariés concernés pourraient exercer leur droit d'accès auprès de la CNAV, de la CCMSA, des CPAM, des CGSS et des organismes proposant des prestations complémentaires. 
Dès lors, la Commission rappelle que les procédures permettant aux salariés et aux demandeurs d'emploi d'exercer leurs droits d'accès et de rectification auprès des organismes concernés doivent être claires et faciles à mettre en œuvre.  
C'est pourquoi, concernant l'exercice du droit de rectification, la Commission  recommande que des courriers ou courriels types puissent être adressés par la CNAV, par la MSA ou par tout autre organisme partenaire aux employeurs qui auraient commis une erreur au niveau de la paie, afin que ceux-ci procèdent à ladite rectification. 
De même, en 2012, la Commission prenait acte qu'un service d'assistance téléphonique dédié devait être créé afin d'orienter la personne concernée vers le service approprié pour exercer ses droits et a eu confirmation de cette mise en place.
S'agissant de l'exercice du droit d'opposition par les salariés concernés, la Commission prend acte que le ministère fait application du 3ème alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée, qui exclut l'exercice de ce droit lorsque le traitement répond à une obligation légale (les employeurs ayant l'obligation légale de procéder à de telles déclarations).
Sur la sécurité 
La Commission prend acte que les mesure de sécurité sont inchangées. 
Conformément aux recommandations émises dans la délibération n°2012-403 du 12 novembre 2012, elle rappelle que le ministère s'était engagé à mettre en œuvre ses recommandations concernant les mots de passe utilisés par les administrateurs, à savoir des mots de passe dont la longueur minimale est de 10 caractères, comportant au moins une majuscule, une minuscule, un caractère spécial et un chiffre et qui soient modifiés régulièrement. Elle demande à ce que tous les administrateurs ayant accès au système d'information mis en œuvre pour la DSN s'authentifient selon ces modalités.
S'agissant du souhait d'anonymisation des données par l'ACOSS à des fins d'études statistiques, la Commission précise que le mécanisme qu'il est prévu d'utiliser, à savoir le recours à un algorithme de hachage, générant un pseudonyme unique et pérenne par individu, les données ne peuvent être qualifiées d'anonymes. Elle rappelle à cet égard que l'algorithme de hachage MD5 est un algorithme qui n'est plus considéré comme sûr et prend acte de l'engagement du ministère de recourir à un algorithme recommandé par le référentiel général de sécurité.Elle estime également nécessaire que l'algorithme de hachage qui sera utilisé pour pseudonymiser les données fasse intervenir une clé secrète régulièrement modifiée.
Les mesures de sécurité mises en œuvre n'appellent pas d'autres observations. 
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1668421)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Zurich Insurance France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de s’assurer que les salariés sont conformes aux normes d’aptitude et d’intégrité définies par le régulateur irlandais. ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société Zurich Insurance France est la succursale française d’une société d’assurance de droit irlandais. Elle exerce en France sur la base du principe de la libre prestation de service des sociétés européennes. La société Zurich Insurance France appartient au groupe Zurich Insurance dont le siège social est situé à Zurich, en Suisse.
Sur la finalité du traitement :
La finalité du traitement est de s'assurer que les candidats sélectionnés ou les salariés déjà en poste amenés à exercer des « controlled functions » se conforment bien aux normes d'aptitude et d'intégrité définies par le régulateur irlandais la « Central Bank of Ireland (CBI) ». 
Les « controlled functions » sont des fonctions occupées par les personnes capables d’exercer une influence sur la conduite des affaires tels le mandataire général ou encore les personnes détentrices d’une autorité dans le cadre de la gestion, du contrôle et de la surveillance de la conformité de l’assureur au regard de ses obligations légales (par exemple le directeur juridique et conformité).
L’article A. 321-2 (m) du Code des assurances prévoit la transmission du bulletin n° 3 du casier judiciaire (B3) à l’ACPR pour les personnes chargées de conduire ou de diriger une entreprise au sens de l’article L. 321-10 du même code telles que le président du conseil d'administration ou encore le directeur général.
Aux termes de l’article 21 du Central Bank Reform Act adopté en 2010 (CBRA), un fournisseur de services financiers ne devra pas autoriser une personne à exercer une « controlled function » à moins que : le fournisseur de services financiers soit convaincu sur la base d’éléments raisonnables que la personne se conforme à toutes les normes d’aptitude et d’intégrité définies par l'article 50 du Central Bank Reform Act, et que la personne se soit engagée à se conformer à toutes ces normes. 
Les vérifications exigées par la CBI portent sur l'ensemble des candidats (internes ou externes) aux « controlled functions ». 
A cette fin, une déclaration de conformité et un questionnaire sont soumis aux personnes postulant à de telles fonctions. 
Ces vérifications ne portent que sur les nouvelles candidatures aux postes de « controlled functions».
La société Zurich, en tant que succursale d'une société de droit irlandais, est tenue de se conformer aux normes émises par la CBI. La Commission considère dès lors que la mise en œuvre d’un traitement visant à s’assurer de « l’honnêteté, de l’intégrité et de l’éthique » des personnes appelées à exercer des « controlled functions » est légitime.
Sur la nature des données traitées :
Les données collectées dans le cadre du traitement mis en œuvre sont les suivantes :
nom, prénom ;
date et lieu de naissance ;
adresse ;
formation ;
expérience professionnelle ;
honorabilité au sens des normes d’aptitude et d’intégrité définies par le “Fitness and probity Standards” de la CBI.
La Commission observe que, dans le cadre de la vérification de l’honorabilité de la personne, parmi les données traitées, figure le bulletin n°3 du casier judiciaire. 
Il revient à la Commission de vérifier la pertinence de la collecte de l’extrait du casier judiciaire.
Le B3 ne peut être demandé que par la personne concernée. Il est remis par les candidats sélectionnés au service RH, qui le transmet au service Conformité pour procéder aux vérifications. 
Le B3 du casier judiciaire comporte les condamnations les plus graves ainsi que des peines privatives de droit. 
La personne faisant l'objet d'une condamnation pourra être écartée du poste à condition que cette condamnation soit incompatible avec l'exercice de la fonction contrôlée.
La réglementation irlandaise distingue entre les « controlled functions » et les « pre-approval controlled functions », cette dernière notion correspondant à la notion française de « personnes qui conduisent l’entreprise » pour lesquelles l’article A. 321-2 du Code des assurances prévoit la transmission du B3 à l’Autorité de contrôle prudentiel et de résolution (ACPR).
Les « Fitness and probity Standards » (« the Standards ») adoptés par la CBI sur le fondement du CBRA précisent ainsi que les personnes postulant aux « controlled functions » doivent être capables de démontrer leur probité, en justifiant de l’absence des condamnations ou des sanctions en matière financière énumérées par lesdits Standards. Ce code s’applique aux « controlled functions » et aux « pre-approval functions » (sous réserve des exceptions prévues au point 1.5).
S’agissant de la réglementation française, l’article L. 322-2 du code des assurances prévoit des interdictions professionnelles pour les personnes qui dirigent, gèrent ou administrent une entreprise d’assurance, ou les personnes qui disposent du pouvoir de signer pour son compte, qui ont fait l’objet de condamnations définitives depuis moins de 10 ans pour un certain nombre d’infractions énumérées par cet article. 
Par ailleurs, conformément à l’article R. 362-2 du code des assurances, le mandataire général de la succursale, personne physique, ne doit pas avoir fait l'objet d'une condamnation inscrite au bulletin n° 3 du casier judiciaire ou d'une condamnation prononcée à l'étranger qui, si elle avait été prononcée par une juridiction française, serait inscrite sur ce bulletin.
La Commission relève que le Parlement européen et le Conseil ont adopté une Directive 2009/138/CE le 25 novembre 2009 sur l'accès aux activités de l'assurance et de la réassurance et leur exercice (ci-après Solvabilité II). Solvabilité II représente une extension du champ de l’appréciation du « fitness & probity » (articles 26, 42 et 43), qui se limite pour l’instant, pour les organismes soumis au Code des assurances, aux principaux dirigeants de l’organisme (président du CA, DG, DG délégué). 
Sont désormais concernés par la notification les responsables de « fonctions clés » et l’ensemble des membres du conseil. Cette extension du champ est le corollaire à la volonté du législateur européen de renforcer la responsabilité des administrateurs et le rôle des « fonctions clés ». L’ensemble des dispositions de Solvabilité II doit être transposé au plus tard le 1er janvier 2016.
La réglementation irlandaise, qui a déjà transposé les dispositions relatives à la gouvernance d’entreprise de la directive Solvabilité II, prévoit que l’employeur doit, notamment, s’assurer de « l’honnêteté, de l’intégrité et de l’éthique » des postulants à des «controlled functions», ainsi que de l’absence de condamnation ou de sanction en matière financière.
Compte tenu de ces éléments, et au regard des interdictions professionnelles posées par la réglementation française, la Commission considère dès lors que la collecte de l’extrait du B3, avant l’embauche ou la prise de fonction, des personnes postulant à des « controlled functions » au sein d’une succursale d’une entreprise d’assurance irlandaise implantée en France est adéquate et pertinente.
Sur la durée de conservation des données :
Les données collectées sont conservées, à l’exception de l’extrait du casier judiciaire (B3), jusqu'à 5 ans suivant la fin d'exercice de la « controlled function » pour les salariés et jusqu’à 2 ans pour les candidats.
La Commission prend acte que la société Zurich Insurance France s’engage à supprimer immédiatement l’extrait du casier judiciaire dès la fin du processus de sélection de la personne concernée.
C’est pourquoi, dès lors que les vérifications du B3 du casier judiciaire sont une condition légale ou réglementaire d’accès à un emploi, les informations conservées doivent être neutres, c’est-à-dire retranscrites de la manière suivante : conservation de mentions sous la forme « néant au bulletin n° 3 sur les infractions visées par le Fitness and Probity Standard du CBI » ou « inscription au bulletin n° 3 sur les infractions visées par le Fitness and Probity Standard du CBI ».
Par ailleurs, en application de l’article L. 1221-6 du code du travail, les informations collectées doivent présenter un lien direct et nécessaire avec l’emploi proposé. Aucun commentaire relatif aux infractions dont un candidat a été l’auteur et ne présentant pas de lien direct et nécessaire avec l’emploi proposé ne doit être enregistré dans son dossier.
Sur les destinataires des données :
Les destinataires de tout ou partie des données sont les personnes habilitées du service des ressources humaines, du service juridique & conformité de Zurich Insurance France et du prestataire en charge de l’hébergement des données.
Sont également destinataires de tout ou partie des données, les personnes habilitées du siège social situé en Irlande et de la maison-mère située en Suisse. 
La Commission considère que les personnes sont en nombre limité et sont légitimes à recevoir communication de tout ou partie des données.
Sur l'information des personnes :
Les candidats aux postes de « controlled functions » et les salariés en exercice sont informés par l’insertion de clauses spécifiques dans le questionnaire soumis lors de la candidature, dans le contrat de travail et enfin dans la déclaration de conformité aux normes du CBI signée annuellement.
Le traitement a été soumis au comité d’entreprise et a reçu un avis favorable.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d’accès, de rectification et d’opposition s’exercent directement auprès du service juridique et conformité de Zurich Insurance France.
Sur la sécurité des données et la traçabilité des actions :
Les mesures de sécurité mises en place n’appellent pas d’observation.
Dans ces conditions, la Commission autorise Zurich Insurance France à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité de s’assurer que les salariés répondent aux conditions fixées par les normes d’aptitude et d’intégrité définies par le régulateur irlandais.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1703200)
La Commission nationale de l'informatique et des libertés,
Saisie par la société FECIT-HOTEL NAPOLEON d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel reposant sur un dispositif biométrique de reconnaissance du contour de la main et ayant pour finalité la gestion des horaires ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Afin de gérer les horaires de ses salariés, la société FECIT-HOTEL NAPOLEON a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’un traitement de données comportant un dispositif biométrique de reconnaissance du contour de la main.