AgentPublic/cnil huggingface dataset:
Selon le ministère, SWAG poursuivant d’autres finalités que celle de préparer, d'exercer et de suivre une action disciplinaire ou un recours en justice et, le cas échéant, de faire exécuter la décision rendue, il ne peut faire l’objet d’un engagement de conformité à  l’autorisation unique des traitements de données à caractère personnel mis en œuvre par les organismes publics et privés pour la préparation, l'exercice et le suivi de leurs contentieux ainsi que l'exécution des décisions rendues (AU-46) du 14 janvier 2016 et doit dès lors faire l’objet d’une autorisation ad hoc de la Commission.
Sur les données traitées
Outre les différentes informations relatives à la procédure contentieuse concernée, plusieurs catégories de données à caractère personnel sont enregistrées dans SWAG, concernant les requérants et les personnels utilisant l’application (agents de la DAJ).
Il s’agit, en premier lieu, de données relatives à l’identité et à la vie professionnelle (fonction, corps d’appartenance, catégorie) des personnels chargés du suivi d’une procédure et des parties au litige.
En second lieu, sont enregistrées dans SWAG toutes les pièces d’une procédure, de sorte que le traitement est susceptible de contenir des données relatives à des infractions, condamnations ou à des mesures de sûreté, au sens des articles 9 et 25-I-3° de la loi « Informatique et libertés », ainsi que des données faisant apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci, au sens de l’article 8 de ladite loi.
La Commission relève que le ministère de l’éducation nationale constitue une autorité publique, agissant dans le cadre de ses attributions légales et est, dès lors habilité, conformément à l’article 9-1° de la loi précitée, à mettre en œuvre un traitement portant sur de telles données. Le traitement SWAG ayant pour objet la gestion et le suivi du contentieux intéressant le ministère, de telles données sont nécessaires au regard des finalités poursuivies. 
En ce qui concerne les données « sensibles », la Commission rappelle que, conformément à l’article 8-I-5° de la loi du 6 janvier 1978 modifiée, de telles données peuvent être collectées lorsqu’elles sont nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice, comme cela est le cas en l’espèce.
Au regard de ces éléments, la Commission estime que les données enregistrées dans le traitement sont adéquates, pertinentes, et non excessives au regard des finalités poursuivies, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Les personnes accédant directement aux données et informations enregistrées dans SWAG sont, dans la limite de leurs attributions respectives et du besoin d’en connaître, les personnels dûment habilités de la DAJ. 
Dans les cas où le ministère doit prendre en charge, pour l’appel et la cassation, un dossier traité, en première instance, par une académie, des échanges de documents liés à ce contentieux peuvent avoir lieu. Ainsi, des personnels dument habilités des académies peuvent être destinataires de certaines données enregistrées dans SWAG. 
Ces accédants et destinataires n’appellent pas d’observations particulières de la Commission.
Sur l’information et le droit d’accès 
Les droits d’accès, de rectification et d’opposition pour motifs légitimes, prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès de la DAJ. Ces modalités d’exercice des droits des personnes concernées n’appellent pas d’observation particulière de la Commission.
En ce qui concerne l’information des personnes concernées, le responsable de traitement a indiqué que, compte tenu du fait que les données sont recueillies de manière indirecte et que le traitement porte sur un nombre élevé de personnes, informer les personnes concernées constituerait un effort disproportionné, dans la mesure où le ministère ne dispose pas toujours des coordonnées des parties au litige. Dès lors, selon le ministère, les dispositions de l’article 32-III de la loi du 6 janvier 1978 modifiée s’appliqueraient au traitement SWAG.
A cet égard, la Commission rappelle que l’information des personnes concernées, prévue à l’article 32 de la loi « Informatique et Libertés » peut être faite selon des modalités variées dès lors qu’elles sont de nature à garantir l’effectivité de cette information. Ainsi, lorsque l’information individuelle des personnes concernées n’est pas possible ou exige un effort disproportionné par rapport à l’intérêt de la démarche, une information générale peut néanmoins être prévue telle que, par exemple, une mention sur le site internet du responsable de traitement.
Concernant le traitement SWAG, la Commission estime que des mentions informatives doivent être insérées dans les courriers ou courriels types générés par l’application dès lors qu’ils ont vocation à être envoyés aux personnes concernées par le traitement.
Elle considère que les dispositions de l’article 32-III de la loi précitée relatives à l’exonération de l’obligation d’information, lorsque celle-ci s’avère impossible ou exige un effort disproportionné, ne peuvent s’appliquer qu’aux seules personnes avec lesquelles le responsable de traitement n’aura aucun contact durant la gestion et le suivi du contentieux les concernant.
La Commission demande dès lors à ce que le ministère procède aux modifications nécessaires du traitement.
Sur les mesures de sécurité
Afin de définir les mesures nécessaires pour assurer la sécurité de l’application SWAG, le responsable de traitement a réalisé une étude des risques intégrant à la fois les aspects relatifs à la sécurité des systèmes d’informations et ceux relatifs à la protection de la vie privée à l’aide de la méthode proposée par la Commission, ce qui démontre son souci de prendre en compte la protection de la vie privée. 
La Commission relève que des mesures de sécurité logique et physique sont mises en œuvre pour préserver la sécurité des données enregistrées dans le traitement.
Le responsable de traitement met en œuvre la Politique de sécurité des systèmes d’information de l’État (PSSIE). 
Les services web sont sécurisés au moyen du protocole HTTPS qui est utilisé pour chiffrer les échanges, sur le réseau, contenant les dossiers contentieux. La Commission rappelle qu’il convient d’utiliser la version de ce protocole la plus à jour possible.
Un mécanisme de chiffrement est également mis en œuvre pour assurer la sécurité des dossiers joints aux courriers électroniques échangés avec les académies.
S’agissant de la politique des mots de passe, la Commission rappelle qu’elle a émis, à cet égard, plusieurs recommandations, dans sa délibération n° 2017-012 du 19 janvier 2017. Elle demande au ministère de procéder aux éventuelles modifications nécessaires afin de se mettre en conformité avec les recommandations de la Commission.
Des sauvegardes quotidiennes sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Des profils d’habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d’accès sont supprimées pour tout utilisateur n’étant plus habilité.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Outre le temps nécessaire à la gestion d’un litige, l’ensemble des données et information relatives à celui-ci enregistré dans SWAG (fiche de suivi et documents annexés) est conservé, en base active, trois ans à compter de la date de la décision juridictionnelle définitive intervenue dans ledit litige.
Le responsable de traitement a indiqué que cette durée doit permettre aux agents de la DAJ de consulter et traiter le dossier lorsqu’une difficulté d’exécution de la décision juridictionnelle survient ainsi que de disposer d’un historique des procédures relevant d’une même thématique.
La Commission estime que le seul fait de pouvoir retrouver un dossier pour lequel une difficulté d’exécution de la décision définitive se présenterait ne constitue pas à lui seul un motif suffisant pour justifier d’une telle durée de conservation en base active.
Toutefois, dans la mesure où l’une des finalités de SWAG est d’offrir un outil de recherche des précédents pour assurer un traitement homogène des procédures et former les nouveaux agents sur des questions juridiques récurrentes, la Commission considère que cette durée de conservation en base active n’excède pas la durée nécessaire aux finalités poursuivies par le traitement.
Le responsable de traitement a en outre précisé que, à l’issue de cette durée de conservation en base active, les données seraient versées dans une base d’archives intermédiaires pour une nouvelle durée de trois ans.
La Commission considère que cette durée, pour laquelle le ministère n’a pas apporté d’éléments de justification suffisants, n’est pas conforme aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée. Elle demande dès lors que, à l’expiration de la durée de conservation en base active, les données à caractère personnel enregistrées dans SWAG soient supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Autorise, conformément à la présente délibération, le ministère de l’éducation nationale à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction générale de la santé du ministère des solidarités et de la santé d’une demande d’autorisation concernant un système d’information partagé dénommé « SI-LAV » destiné à améliorer la lutte anti-vectorielle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment les articles L. 3113-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La Direction générale de la santé du ministère des solidarités et de la santé.
Sur la finalité
Le traitement poursuit les finalités suivantes :
- améliorer la détection, la surveillance et la gestion des maladies vectorielles (ou arboviroses) à déclaration obligatoire par la mise en place d’un outil de partage des informations relatives aux signalements sanitaires de ces maladies et à leur traitement par les services de lutte anti-vectorielle ;
- améliorer les investigations et permettre la mise en œuvre d’actions visant à supprimer ou à limiter la propagation de l’agent pathogène en cause (traitement par produits insecticides, enquête entomologique, visites domiciliaires et diffusion de messages d’éducation sanitaire ciblés) par ces services.
A cet effet, un système d’information national, accessible à un nombre restreint de professionnels impliqués dans la lutte anti-vectorielle, sera créé.
Ce système d’information permettra aux services de lutte anti- vectorielle : 
- d’être informés des signalements individuels nominatifs notifiés aux médecins épidémiologistes en charge de la surveillance sanitaire des maladies à déclaration obligatoire (dengue, paludisme, chikungunya, etc.) dans le cadre de la procédure réglementaire de signalement prévue par les articles L.3113-1 et suivants du code de la santé publique. 
Les médecins destinataires de ces signalements sont ceux de l’Agence régionale de santé (ARS) désignés par le directeur général de cette agence exerçant au sein de la cellule de veille et d’alerte et au sein de la cellule interrégionale d’épidémiologie ;
- de mener les investigations destinées à identifier l’origine de la contamination et de l’exposition et de mettre en place, en urgence, des mesures de prévention individuelle ou collective et/ou de traitement destinés à contrôler la population de moustiques infectés ;
- d’identifier, dans le temps, les lieux traités et à traiter (démoustication) et de connaître la densité des cas dans ces lieux.
Ce système d’information s’inscrit dans la stratégie nationale de lutte contre les insectes vecteurs de maladie dans les territoires où sont détectés ces moustiques.
La Commission considère ces finalités comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Elle estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés, comme en l’espèce, par l’intérêt public.
Sur les données traitées
Les données traitées et échangées sont les suivantes :
- concernant les personnes infectées et rencontrées au cours des enquêtes sur le terrain : données d’identification (nom, prénom, sexe, date de naissance) ; coordonnées (adresse complète, numéro de téléphone, courriel) ; informations en rapport avec le signal sanitaire : date des premiers signes cliniques, date de prélèvement, date de signalement, résultat, type d’enquête (cas confirmé, décès, cas hospitalisé), adresse, quartier, code INSEE, commune, coordonnées géographiques (longitude, latitude) du domicile, mesures de prévention et de traitement mises en œuvre ;
- annuaire des partenaires institutionnels, historique des échanges.
Les données traitées apparaissent pertinentes, adéquates et non excessives au regard de la finalité poursuivie.
Sur les destinataires
L’accès et l’utilisation de l’outil de partage sont réservés :
- aux professionnels des services de démoustication et de lutte anti-vectorielle des conseils départementaux ou des opérateurs qu’ils ont désignés pour l’exercice de ces missions ;
Ces professionnels sont tenus au secret professionnel conformément aux dispositions de l’article L.1110-4 du code de la santé publique. 
 
Les agents de lutte anti-vectorielle n’ont accès aux données nominatives que pendant la durée de leur intervention auprès du particulier concerné.
Des échanges d’informations sont envisagés entre les systèmes de surveillance de la dengue,du chikungunya, de Zika et des autres arboviroses, mis en œuvre par l’Agence nationale de santé publique (ANSP), et le système SI-LAV. Une demande d’intervention autour d’un cas suspect est formulée dans l’outil de l’ANSP et exportée vers SI-LAV. L’opérateur public de démoustication intègre dans SI-LAV le résultat de son intervention. Ces données « entomologiques » (présence de moustiques, vecteurs, traitements) sont enfin exportées vers les systèmes d’information dédiés de l’ANSP  et consultables par les agents spécifiquement habilités de l’Agence nationale de santé publique.
Sur l’information et le droit d’accès 
L’information des personnes sur l’existence du traitement et ses modalités de mise en œuvre sera assurée par la remise d’une brochure les informant, notamment, de leurs droits d’opposition, d’accès et de rectification.
L’exercice des droits s’effectue auprès du responsable du service de lutte anti-vectorielle.
Ces mesures apparaissent conformes à l’article 32 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
- Système d’information hébergé par la Direction des systèmes d’information (DSI) du ministère des solidarités et de la santé et accessible par l’interface d’un portail internet aux personnels habilités de lutte anti-vectorielle concernés ;
- définition de profils d’habilitation à la plateforme définissant pour chaque utilisateur les fonctions autorisées et les catégories d’informations accessibles ;
- revue annuelle des habilitations par la DSI : désactivation des profils sans autorisation ;
- accès aux données nominatives nécessitant une authentification par login/mot de passe individuels conformes aux recommandations de la CNIL et changés régulièrement, gérés sous la responsabilité de la structure administrative qui les encadre. La Commission rappelle que  les mots de passe ne doivent pas être stockés en clair dans un fichier ou une base de données et que les identifiants et les mots de passe ne doivent pas être transmis via un même canal de transmission. Elle recommande de conserver le résultat de la fonction de hachage SHA-2 avec une clé secrète sur le mot de passe ;
- blocage du compte après six tentatives infructueuses ;
- chiffrement des données nominatives de santé. La Commission recommande que les sauvegardes soient  également chiffrées ;
- transport des informations sécurisé par des mesures de chiffrement des données pour tout transfert d’informations entre partenaires ;
- traçabilité de l’ensemble des opérations (requêtes, consultation et export) ;
- actions de sensibilisation des utilisateurs à la politique de sécurité par la mise en place et la signature d’une charte définissant les modalités d’utilisation du dispositif et destinée à promouvoir son bon usage.
La Commission rappelle qu’afin de garantir la mise en œuvre des mesures de sécurité dans la durée, elles doivent être matérialisées dans une politique de sécurité propre au traitement et faire l’objet de contrôles et de révisions réguliers au vu des évolutions du traitement, de son usage et de son environnement.
Sur la durée de conservation des données 
Les données nominatives seront conservées pendant la durée de l’enquête et du suivi du cas signalé puis anonymisées de façon définitive quatre mois après la date de clôture de l’opération dans le SI-LAV. 
La Commission rappelle que l'anonymisation des données ainsi mises à disposition doit être effective. Il conviendra donc de démontrer la conformité de la solution et des techniques d'anonymisation mises en œuvre, aux trois critères définis par l'avis du G 29 n° 05/2014, et de la transmettre à la Commission. 
À défaut, si ces trois critères ne peuvent être réunis, une étude des risques de réidentification doit être menée et, en fonction du droit national, être soumise à l’autorité de protection des données compétente pour valider, ou non, le processus d’anonymisation proposé. Cette étude consistera à démontrer que les risques, liés à la publication du jeu de données anonymes, n’ont pas d’impact sur la vie privée et les libertés des personnes concernées.
Afin de prévenir et d’anticiper d’éventuelles épidémies, les données de localisation des cas signalés sont conservées pendant dix ans, mais leur précision est portée à une échelle de 100 mètres afin de ne pas permettre l’identification des personnes.
La présente délibération abroge la délibération n° 2012-077 du 8 mars 2012.
Autorise, conformément à la présente délibération, à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le groupe BPCE d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l'extension du traitement autorisé par la délibération n° 2010-207 aux organismes des banques populaires, à la Banque palatine, au Crédit foncier, à la Banque de Tahiti et à la Banque de Nouvelle-Calédonie ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code monétaire et financier ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son articles 25-I (4°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la demande de modification de la délibération n° 2010-207 du 1er juillet 2010 modifiant la délibération n° 2009-359 du 18 juin 2009 portant autorisation unique des traitements automatisés des alertes d'abus de marché mise en œuvre par les organismes du groupe Caisses d'épargne ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
			Responsable du traitement
			Le groupe BPCE
			Sur la finalité
			Le groupe BPCE a saisi la commission d'une demande d'autorisation portant sur la mise en place dans les établissements du groupe d'un traitement automatisé de données à caractère personnel visant à la détection des alertes potentielles d'abus de marché.
			Par une délibération n° 2010-270 du 1er juillet 2010, la commission a adopté une autorisation unique des traitements automatisés de détection des alertes d'abus de marché mis en œuvre par les organismes du groupe Caisses d'épargne.
			Le groupe BPCE saisit aujourd'hui la commission d'une demande de modification de l'autorisation unique qui bénéficie aux Caisses d'épargne, consistant à l'étendre à de nouvelles entités rattachées au groupe BPCE.
La délibération n° 2010-270 est modifiée sur les points suivants : les organismes susceptibles de réaliser un engagement de conformité à la présente autorisation unique sont les organismes des Caisses d'épargne, les organismes des Banques populaires, la Banque palatine, le Crédit foncier, la Banque de Tahiti et la Banque de Nouvelle-Calédonie, qui mettent en œuvre un traitement automatisé de données à caractère personnel de détection des alertes potentielles d'abus de marché, pour autant que ces traitements soient conformes à la présente autorisation unique.
			Sur les données traitées
			Les listes d'opérations à analyser ainsi obtenues comportent les catégories de données suivantes :
			- les nom, prénom, date de naissance ou la raison sociale du détenteur du compte ;
			- le n° SIREN ;
			- l'adresse ;
			- la date de détection ;
			- la date et la nature de la détection ;
			- le nombre de détections sur une période glissante et la date de la dernière détection ;
			- la volumétrie des opérations ;
			- l'établissement du groupe concerné, le numéro de l'agence ;
			- le numéro du compte titre et du compte numéraire associé ;
			- le type de compte (joint ou non) ;
			- les caractéristiques de la valeur (code ISIN, libellé, marché, place et mode de cotation, admissible ou non au système de règlement différé) ;
			- les caractéristiques de l'ordre détecté (achat ou vente, type d'ordre, prix, quantité, origine, date, etc.) ;