AgentPublic/cnil huggingface dataset:
définir et mettre en œuvre une politique de durée de conservation des données relatives aux utilisateurs du site qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées, et notamment :
- en veillant à ne pas déposer de cookies dont la durée de validité est supérieure à treize mois après leur dépôt sur l’équipement terminal de la personne concernée ; 
- en ne conservant pas les demandes de suppression de données et les pièces d’identité associées au-delà du temps nécessaire au traitement des demandes ;
prendre toute mesure de sécurité, pour l’ensemble des traitements de données à caractère personnel mis en œuvre, permettant de préserver la sécurité des données et d’empêcher que des tiers non autorisés y aient accès, notamment en mettant en place une politique contraignante relative aux mots de passe, en termes notamment de complexité (8 caractères minimum dont au moins une lettre majuscule, une lettre minuscule, un chiffre et un caractère spécial) ;
prendre les mesures nécessaires pour permettre aux personnes concernées d’exercer de façon effective leur droit d’opposition, notamment en cessant d’adresser des messages électroniques à caractère commercial aux personnes qui en font la demande ;
conditionner l’envoi de prospection commerciale électronique au recueil du consentement des personnes concernées ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, s’il est constaté que la société ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 3 octobre 2016 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-président délégué, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° 2016-083 du 26 septembre 2016 de la Présidente de la Commission mettant en demeure la société X.
A adopté la délibération suivante :
Par décision du 26 septembre 2016, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X sise […], de faire cesser sous un délai de trois mois les manquements constatés à cette même loi.
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 3 octobre 2016.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la quantité de manquements constatés, au nombre de dix, et le volume potentiel de personnes concernées, le site internet […] indiquant compter environ 2 millions de visiteurs et 85.000 ventes par jour.
Le bureau estime également que la mesure de publicité se justifie, d’une part, par la taille de l’organisme en cause, qui, en fin 2014, employait plus d’un millier de personnes et réalisait environ 1,6 milliards d’euros de chiffres d’affaires ; d’autre part, par son importance puisqu’il s’agit du 2ème site de e-commerce le plus visité en France au premier trimestre 2016.
Le bureau considère enfin que la publicité de la mise en demeure a vocation, d’une part, à appeler l’attention de l’organisme en cause sur les manquements constatés et lui permettre de se conformer à la mise en demeure dans les délais impartis, et d’autre part, d’informer les clients de la société sur leurs droits, s’agissant notamment de la présence de commentaires excessifs et du traitement de leurs données bancaires, de l’envoi de prospection commerciale ou encore de l’usage des cookies par la société.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° 2016-083 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération seront anonymisées à l’expiration d’un délai de deux ans à compter de leur publication. 
La Présidente
Isabelle FALQUE-PIERROTIN
Monsieur […],
Je fais suite à la décision n°2015-005 que j’ai prise le 2 février 2015 mettant en demeure X situé […], ainsi qu’aux échanges qui ont suivi et à la réunion qui s’est tenue en nos locaux le 15 juillet dernier.
Je prends acte de ce que désormais, conformément aux termes du décret n°2015-648 du 10 juin 2015 relatif à l’accès au traitement d’antécédents judiciaires et au fichier des personnes  recherchées,  les personnels  en charge des enquêtes  administratives  prévues à l’ article R.40-29 du code de procédure pénale peuvent dorénavant savoir, non seulement si une personne est inscrite dans le Traitement d’Antécédents Judiciaires (TAJ), mais aussi les faits pour lesquels elle y est enregistrée, ce qui a vocation à accélérer la réalisation des enquêtes administratives et la prise de décisions favorables.
En outre, avant de prendre une décision défavorable, ces agents doivent demander un complément d’information aux services de police ou de gendarmerie compétents et interroger le procureur de la République pour connaître les suites judiciaires des faits ayant justifié l’enregistrement de la personne dans le fichier.
Vous m’avez également indiqué avoir procédé à un renforcement des effectifs de police dédiés à la gestion des demandes de droit d’accès indirect au TAJ permettant notamment de saisir les Parquets sous un délai de 45 jours à compter de la réception des demandes et de vous mettre ainsi en conformité avec les dispositions de l’article 87-1 du décret n°2005-1309 du 20 octobre 2005 modifié.
Par ailleurs, j’ai pris bonne note que :
-          d’une part, conformément à l’article 230-8 du code de procédure pénale, une expérimentation visant à permettre aux Parquets d’accéder directement au fichier TAJ sera opérée d’ici la fin de cette année ;
-          d’autre part,    les échanges inter-applicatifs entre CASSIOPEE et  TAJ se poursuivront par la généralisation en 2015 de cette interconnexion avec l’ensemble des unités de la gendarmerie nationale (dès lors que les anomalies techniques auront été corrigées), et par le lancement, cette année également, de tests avec les services de la police nationale. Cette interconnexion permettra ainsi de systématiser la mise à jour de TAJ par CASSIOPEE.
Au regard de ces éléments, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier.
Conformément à l’article 46 alinéa 2 de la loi n° 78-17 du 6 janvier 1978, cette clôture fera l’objet de la même mesure de publicité que celle de la mise en demeure. Ce courrier sera donc publié sur notre site internet de manière identique à la mise en demeure.
Je vous informe par ailleurs que s’il était constaté à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourra être engagée à l’encontre de X conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée.
 
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect de la loi  Informatique et Libertés  qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
Le service des sanctions reste à la disposition de vos collaborateurs pour tout complément d’information.
Je vous prie d’agréer, Monsieur […], l’expression de ma considération distinguée.
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par la ministre de la santé et des affaires sociales d'une  demande d'avis concernant un projet de décret en Conseil d'Etat  modifiant le  décret n° 2005-1309 du 20 octobre 2005 pris pour application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95146/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; Vu la  loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 : Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son  rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses  observations, Emet l'avis suivant : La CNIL a été saisie par la ministre des affaires sociales et de la  santé d'une demande d'avis concernant un projet de décret en Conseil  d'Etat (ci-après le  projet ) visant à modifier le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978  relative à l'informatique, aux fichiers et aux libertés (ci-après la   loi Informatique et Libertés ). La modification de ce décret est  nécessaire afin de permettre l'application des  dispositions de l'article 193 de la loi n° 2016-41  de modernisation de notre système de santé du 26 janvier 2016 (ci-après  la  loi de modernisation de notre système de santé ), qui  introduisent la notion d'alerte sanitaire à l'article 22-V de la loi n° 78-17 du 6 janvier 1978 modifiée et opèrent une fusion des chapitres IX et X de cette même loi. Sur l'alerte sanitaire : L'article 22-V de la loi Informatique et Libertés modifié par la loi  de modernisation de notre système de santé prévoit la faculté, pour les  organismes ou les services chargés d'une mission de service public  figurant sur une liste fixée par arrêté des ministres chargés de la  santé et de la sécurité sociale, pris après avis de la commission, de  mettre en œuvre des traitements de données de santé à caractère  personnel, afin de répondre, en cas de situation
d'urgence, à une alerte  sanitaire, au sens de l' article L. 1413-1 du code de la santé publique.  Ces traitements sont soumis au régime de la déclaration préalable. Par  ailleurs, l'article 22-V de la loi Informatique et Libertés prévoit que  les conditions dans lesquelles ces traitements peuvent utiliser le  numéro d'inscription au répertoire national d'identification des  personnes physiques (ci-après le  NIR ) sont définies par décret en  Conseil d'Etat, pris après avis de la commission. L'article ler du projet prévoit l'ajout d'un article 12-1 au décret  d'application de la loi Informatique et Libertés. Il détaille les  conditions dans lesquelles il pourra être fait usage du NIR en cas  d'urgence sanitaire. A cette fin, il précise que le NIR ne pourra être  traité que s'il constitue  le seul moyen de collecter des données de  santé à caractère personnel nécessaires pour faire face à l'urgence  sanitaire . L'article 12-1 du projet prévoit en outre que le NIR peut être  collecté directement auprès des personnes concernées, indirectement  auprès de leur famille ou de toutes personnes morales habilitées à  traiter le NIR dans le cadre de leurs missions ou activités, qu'il est  conservé pour la durée nécessaire à l'appariement de données et que sa  transmission et sa conservation font l'objet d'un chiffrement conforme  aux recommandations ou référentiels de la commission. Sur la réorganisation du chapitre IV du titre Il du  décret n° 2005-1309 du 20 octobre 2005 : Les
dispositions de l'article 2 du projet visent principalement à  modifier les modalités de présentation et d'instruction des demandes  d'autorisation de traitements, à détailler la composition et le  fonctionnement du comité d'expertise pour les recherches, les études et  les évaluations dans le domaine de la santé (ci-après, le  CEREES ),  ainsi qu'à préciser les modalités d'information et d'exercice des droits  des personnes concernées. A cet égard, la commission rappelle qu'elle est favorable à la  simplification des procédures et qu'elle a ainsi homologué récemment des  méthodologies de référence en matière de recherche dans le domaine de  la santé. Sur la présentation et l'instruction des demandes d'autorisation de traitements (section 1 du chapitre IV) : L'article 20 tel qu'il résulte du projet prévoit que les demandes  d'autorisation sont déposées auprès du secrétariat unique (ci-après le   secrétariat ) confié à l'Institut national de données de santé  (ci-après  l'INDS ), comme prévu par l' article L. 1462-1 (2°) du code de la santé publique.  Ce secrétariat transmettra la demande dans un délai de sept jours  ouvrés au comité compétent pour rendre un avis sur le projet :
- le comité de protection des personnes mentionné à l' article L. 1123-6 du code de la santé publique,  pour les demandes d'autorisation relatives aux recherches impliquant la  personne humaine mentionnées à l'article L. 1121-1 du même code  (ci-après le  CPP ) ; - le CEREES, pour les demandes d'autorisation relatives à des études  ou à des évaluations ainsi qu'à des recherches n'impliquant pas la  personne humaine, au sens de l'article 54 (1°, II) de la loi  Informatique et Libertés.
La commission en prend acte. L'article 21 tel qu'il résulte du projet détaille la composition du dossier déposé auprès du secrétariat. La commission relève que ce dossier comprendra notamment l'ensemble  des éléments qui lui sont actuellement adressés en application de  l'article 34 du décret ainsi que de nouveaux éléments. A cet égard, le  projet d'article 21 (1°, a) ajoute aux informations transmises les  déclarations publiques d'intérêts du responsable de traitement, ainsi  que l'identité et l'adresse du commanditaire de la recherche, de l'étude  ou de l'évaluation et de la personne qui en fait la demande. Sur ce point, si la commission déduit des termes  personne publique  qui en fait la demande  qu'il s'agira de mentionner si la recherche,  l'étude ou l'évaluation est réalisée à la demande d'une personne  publique, telle qu'une agence sanitaire ou un ministère, elle  s'interroge sur le sens du terme  commanditaire de la recherche . Elle  suggère que ce terme soit explicité. Par ailleurs, le projet d'article 21 (1°, b) prévoit, comme  l'article 28 (1°) du décret actuellement en vigueur, l'obligation pour  le responsable de traitement de préciser les catégories de personnes  appelées à mettre en œuvre le traitement ainsi que celles ayant accès  aux données. Il ajoute l'obligation de préciser leur nombre. La commission s'interroge sur la nécessité d'une telle exigence et  sur la difficulté de sa mise en œuvre, le nombre de personnes concernées  n'étant pas nécessairement
connu à ce stade. Le projet d'article 21-2° complète les mentions devant figurer dans  la méthodologie de l'étude ou de l'évaluation ou le protocole de la  recherche par l'objectif du traitement, la justification du nombre de  sujets et la liste des données à caractère personnel utilisées. La commission propose d'ajouter les termes  de données à caractère  personnel  à la suite du terme  traitement , afin d'éviter une  confusion avec un traitement médical. Le projet d'article 21 (3°) prévoit l'obligation pour le responsable  de traitement d'indiquer dans le dossier déposé le type de diffusion ou  de publication des résultats du traitement envisagé. La commission appelle l'attention du ministère sur le fait que les  résultats publiés ne sont pas ceux du traitement de données à caractère  personnel, mais ceux de la recherche, étude ou évaluation nécessitant le  traitement. Elle demande donc que le projet de décret soit modifié sur  ce point. Le projet d'article 21 (4°) complète la formulation de l'article 34  (3°) du décret actuellement en vigueur en précisant que le document  d'information prévu par l' article L. 1122-1 du code de la santé publique  et les documents de recueil du consentement exprès des personnes  concernées, nécessités en application des dispositions de l'article 56  de la loi Informatique et Libertés, devront également figurer au  dossier. Dans la mesure où le recueil du consentement exprès peut également  être une condition légale de réalisation de
certaines recherches  interventionnelles, de réalisation d'analyses génétiques ou de  constitution de collections d'échantillons biologiques humains, la  commission propose, afin de disposer des éléments nécessaires à  l'appréciation des modalités d'information et d'exercice des droits des  personnes concernées, de compléter la mention de l'article 56 de la loi  Informatique et Libertés par celle des dispositions du  code de la santé publique prévoyant l'obligation de recueillir un consentement écrit ou exprès. Le projet d'article 21 (5°) prévoit que la durée de conservation des  données fait partie des caractéristiques du traitement devant être  détaillées dans le dossier de demande. Le projet d'article 21 (6°) ne prévoit plus la possibilité pour le  responsable de traitement de justifier scientifiquement et techniquement  une demande de dérogation à l'obligation de codage des données  permettant l'identification des personnes intéressées, et lui substitue  la possibilité de solliciter une dérogation à l'interdiction de  conserver les données sous une forme nominative au-delà de la durée  nécessaire à la recherche. Le projet d'article 21 (7°) prévoit notamment que figurent au dossier les avis rendus par le comité d'évaluation des registres. La commission attire l'attention du ministère sur le fait que le  fonctionnement de ce comité n'est détaillé par aucun texte législatif ou  réglementaire. Elle relève que le formulaire de demande d'évaluation  disponible sur le site
internet de cet organisme prévoit notamment le  recueil de l'année de création du registre ainsi que la date et le  numéro d'autorisation délivrée par la commission pour la constitution du  registre. A cet égard et dans la mesure où un avis du comité d'évaluation du  registre ne semble pouvoir être rendu que concernant un registre  existant, la commission suggère qu'il n'en soit pas fait mention dans  les pièces devant figurer dans le dossier constitutif de la demande  d'autorisation. Le projet d'article 21 (11°) prévoit que la liste des traitements  répondant aux caractéristiques prévues au IV de l'article 54 de la loi  Informatique et Libertés, c'est-à-dire les traitements réalisés dans le  cadre des méthodologies de référence homologuées par la commission,  devra être fournie avec le dossier. La commission propose que cette liste de traitements de données à  caractère personnel lui soit transmise annuellement par les responsables  de traitement concernés. Le projet d'article 21 confie au secrétariat la mission de vérifier  la complétude du dossier produit à l'appui de la demande et de  réceptionner les éléments modificatifs du dossier. L'article 22 tel qu'il résulte du projet prévoit que ravis du CEREES  est notifié au secrétariat par tout moyen permettant de dater la  réception et que le demandeur est informé de cette notification. Il  précise que cet avis est réputé favorable passé un délai de trente jours  à compter de la réception du dossier complet. La commission
suggère qu'il soit précisé que le demandeur est destinataire de l'avis du CEREES. Le projet d'article 23 prévoit la faculté, pour le CEREES de rendre  des avis favorables, le cas échéant de façon tacite, et des avis avec  recommandations, réservés ou défavorables. Il prévoit en outre que le  demandeur informe le secrétariat de sa volonté de saisir ou non la  commission. Le demandeur dispose également de la faculté de retirer, rectifier ou compléter son dossier. La commission propose que le projet précise que le dossier devra  être à nouveau soumis au comité compétent s'il fait l'objet de  rectifications ou de compléments de la part du demandeur. L'article 23 tel qu'il résulte du projet prévoit par ailleurs que  lorsque l'avis du CEREES ou du CPP est favorable ou lorsque le demandeur  sollicite la transmission de son dossier à la commission, le  secrétariat transmet sans délai le dossier à la commission, accompagné  des avis rendus, ou de l'avis de réception ou du récépissé de la demande  d'avis lorsque le comité compétent a rendu un avis tacitement  favorable. La commission statuera ensuite dans les conditions prévues  par l'article 54-III de la loi Informatique et Libertés. Enfin, le projet d'article 23 prévoit que le secrétariat unique  informe les comités des suites données à leurs avis, et tient à la  disposition du demandeur les informations relatives à l'état  d'avancement de l'instruction de son dossier jusqu'à l'avis rendu par la  commission. L'article 24 prévoit la
faculté pour la commission et le ministère  de la santé de saisir l'INDS, afin qu'il se prononce sur le caractère  d'intérêt public que présente une recherche, une étude ou une évaluation  justifiant une demande d'autorisation de traitement de données en  application du chapitre IX de la loi Informatique et Libertés. L'INDS  dispose également de la faculté de s'autosaisir pour les mêmes raisons  dans un délai d'une semaine à compter de l'avis du CEREES, concernant  les recherches, études ou évaluations n'impliquant pas la personne  humaine et lorsque la réalisation de ces dernières n'aura pas été  demandée par une agence sanitaire ou un ministère. Dans tous les cas, le  demandeur en sera informé sans délai par le secrétariat et sera  destinataire de l'avis de l'INDS. La saisine de l'institut suspend le  délai d'instruction de la demande d'autorisation qui lui aura été  transmise. L'avis de l'Institut devra être rendu dans le délai d'un  mois. Le projet d'article 24 mentionne par ailleurs que l'INDS peut se  prononcer sans débat sur des traitements similaires à ceux qu'il a déjà  examinés et définit ces traitements comme ceux répondant à une même  finalité, portant sur des catégories de données identiques et ayant des  catégories de destinataires identiques. La commission en prend acte. Sur la composition et le fonctionnement du CEREES (section 2 du chapitre IV) : Le projet d'article 25 fixe la composition du CEREES, qui comprendra  vingt et un membres, soit six de plus que