AgentPublic/cnil huggingface dataset:
La Commission rappelle qu’il convient d’interpréter cette durée de conservation en tant que délai maximal, les données pertinentes devant être conservées sous des fichiers distincts permettant de répondre aux différentes étapes du traitement initial des données (archivage intermédiaire, archivage définitif). Sous ces réserves, les caractéristiques liées à la durée de conservation sont conformes à l’article 6-5° de la loi « Informatique et Libertés ».
Sur les destinataires des données :
Seules les personnes habilitées au sein de l’ISEE accèdent aux données utiles au strict accomplissement des missions qui leurs sont confiées.
Dans le cadre de leurs missions respectives, les destinataires listés à l’article R. 213 du code électoral peuvent accéder à certaines données à caractère personnel dans la mesure où elles s’avèrent utiles aux opérations qui leur sont confiées pour établir et tenir la liste électorale spéciale. Ainsi, outre les propositions d’inscription d’office concernant les personnes inscrites à l’état civil coutumier et la liste électorale spéciale à la consultation, certaines données ayant permis de procéder à la présente interconnexion sont susceptibles d’être rendues accessibles dans l’hypothèse d’opérations de vérification.
Sur l'information des personnes :
La Commission rappelle que l’information sera délivrée dans les conditions prévues au code électoral concernant l’organisation générale des élections. En ce sens, elle souligne tout particulièrement que l’alinéa 3 de l’article 218-2.-I de la loi organique du 19 mars 1999 modifiée prévoit également que l'électeur « qui fait l'objet d'une radiation ou d'un refus d'inscription, ou dont l'inscription est contestée, est averti sans frais par le maire et peut présenter ses observations ».
En outre, la Commission relève que, compte tenu de l’objectif poursuivi par la présente interconnexion et dans un souci de garantir l’information des personnes concernées, le Haut-commissariat de la République en Nouvelle-Calédonie prévoit de mener une campagne d’information. Dans ce cadre, elle suggère aux pouvoirs publics compétents d’informer, par tout moyen à disposition, l’utilisation de données issues notamment du registre de l’état civil coutumier afin que l’ISEE puisse consolider les propositions d’inscription d’office sur la liste électorale spéciale.
Elle considère que ces éléments sont conformes à l’article 32 de la loi « Informatique et Libertés ».
Sur les droits d'accès, de rectification et d'opposition des personnes :
La Commission relève que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi n° 78-17 du 6 janvier 1978 modifiée s'exercent auprès de l’ISEE de Nouvelle-Calédonie par courrier postal (52, Avenue du Mal Foch - BP 823 – 98845 NOUMEA) ou par courriel (isee@isee.nc).
Le droit d’opposition ne s’applique pas au présent traitement mis en œuvre par l’ISEE en application d’une obligation légale, ce qui n’appelle pas d’observation particulière de la Commission.
Sur la sécurité des données et la traçabilité des actions :
Compte tenu des éléments à sa disposition, la Commission rappelle à l’ISEE l’impératif de garantir la confidentialité et l’intégrité des données ainsi que leur traçabilité, tout particulièrement au regard des enjeux poursuivis par le dispositif mis en œuvre et des actions susceptibles d’être menées au titre de vérification des travaux accomplis.
Le contexte de mise en œuvre de ce traitement exige en effet une gestion stricte des mesures de sécurité, notamment en matière de politique d’habilitation et de traçabilité des actions. Ainsi, les données échangées avec l’ensemble des organismes régulièrement habilités doivent l’être dans des conditions assurant notamment leur confidentialité ainsi que leur intégrité au moyen de procédés de chiffrement, de calcul et de vérification d’intégrité réputés fiables, cela quelque soit le mode d’échange retenu (courriel, CD/DVD par porteur, serveur sftp, etc.).
Le cas échéant, l’ISEE devra mettre en œuvre des mesures de nature à garantir l’archivage de certaines données à titre probant, dans le souci de faire face aux vérifications et éventuelles contestations. Sur ce point et sans préjudice des dispositions applicables relevant du code du patrimoine, la Commission rappelle que l'accès aux données archivées doit se faire selon des modalités spécifiques et les archives obsolètes doivent être détruites de manière sécurisée.
Les autres mesures de sécurité semblent conformes à l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois qu’elles doivent faire l’objet de réévaluation régulière pour se conformer à l’obligation de sécurité.
Dans ces conditions, la Commission autorise le ministère des Outre-mer à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité l’interconnexion de certaines données issues du fichier général des électeurs et du fichier d’état civil coutumier.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n°1863092)
La Commission nationale de l’informatique et des libertés ; 
Saisie par la Direction Générale de l’Aviation Civile d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’élaboration de statistiques, d’études internes aux fins d’évaluation des dispositifs d’accompagnement et des besoins du service social ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le décret n° 2008-680, modifié, du 9 juillet 2008 portant organisation de l'administration centrale du ministère de l'écologie, de l'énergie, du développement durable et de l'aménagement du territoire ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement.
Formule les observations suivantes :
Sur le responsable du traitement
La Direction Générale de l’Aviation Civile (DGAC) est désignée en tant que responsable de traitement, objet de la présente délibération.
Au sein de la Direction Générale de l'Aviation Civile, le Secrétariat général "définit et met en œuvre la politique d'action sociale destinée aux personnels." 
Cette mission est assurée au sein de la sous-direction du personnel par le bureau de l'action sociale de la DGAC.
Le bureau de l’action sociale comporte la division assistantes de service social, notamment chargée d’assurer les missions suivantes : 
animer le réseau des assistantes de service social de la DGAC et de l’établissement public Météo-France, qui relève de cette direction ;
élaborer le rapport d’activité du service social ;
exercer un rôle de conseil et d’expertise en matière sociale, participer à l’élaboration de la politique d’action sociale et émettre des propositions en matière de prestations sociales ;
assurer, au plan local, le suivi et l’accompagnement social des personnels et de leurs familles qu’ils soient actifs ou retraités de métropole et d’outre-mer. 
Sur la finalité
Le traitement permet de poursuivre la finalité suivante :
établir des statistiques à partir de données individuelles relatives aux actions d'accompagnement sociale des assistantes de service social (ces données sont préalablement anonymisées).
Ces statistiques doivent permettre de rédiger un rapport annuel d'activités des assistantes de service social et d'identifier les problématiques sociales et les réponses apportées à celles-ci.
L'analyse a postériori des informations obtenues pourront donner lieu, le cas échéant, à des propositions d'amélioration des dispositifs d'actions sociales à mettre en place. 
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime. 
La Commission estime qu'il y a lieu de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives à : 
l’identité (nom, prénom, adresse, date et lieu de naissance, nationalité : le recueil de la nationalité concerne uniquement les étudiants étrangers effectuant une formation à l’école d’aviation civile) ;
la vie personnelle (situation familiale) ;
la vie professionnelle (situation professionnelle, scolarité, formation) ;
la situation économique et financière (situation financière) ;
les appréciations sur les difficultés sociales (fondement du recours auprès du service social) ;
les données de santé.
Les données relatives à la santé se limitent au signalement de l'existence d'une pathologie et/ou d'un handicap sans identification précise.
Ces données sont recueillies sur la seule foi de la déclaration des agents ou au vu de documents administratifs, (par exemple : les congés pour longue maladie).
La Commission prend acte que des modalités de recueil du consentement auprès des agents seront mises en place lors de la prise de rendez-vous, afin de se conformer à la réglementation en vigueur.
Ces données apparaissent pertinentes au regard de la finalité poursuivie conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
La Commission prend acte que seule la division assistante de service social à accès aux données.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, oralement lors de l’entretien avec la personne concernée.La Commission rappelle que seule une information claire, complète et explicite est de nature à permettre aux usagers d’exercer pleinement leurs droits. A cet égard, elle précise que l’information des usagers doit se faire dans un langage compréhensible et selon des modalités appropriées et adaptées à leur état. La Commission recommande que l’information orale soit complétée par une information écrite (par voie d’affichage ou via une note explicative par exemple).En tout état de cause, elle rappelle que lorsque les informations sont collectées par voie de questionnaire, celui-ci doit comporter cette information.Les droits d’accès, de rectification et d’opposition s’exercent auprès de la DGAC - bureau de l’action sociale - 50 rue H. Farman – 75015 Paris.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation de deux mots de passe : le premier comporte huit caractères alpha numériques et caractères spéciaux ; le second comporte dix caractères numériques.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Chaque assistante de service social ne peut accéder qu’aux données qu’elle a collectées.Les échanges de données effectuées sur internet sont sécurisés par des procédés de chiffrement de transport des données, en conformité avec l’architecture technique préconisée par la Commission (https).Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée de deux ans à compter de la dernière intervention et pendant une durée complémentaire de trois ans en archivage intermédiaire. Au terme de cette durée, les données seront supprimées, sauf dispositions législatives ou réglementaires contraires.La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, la Direction Générale de l’Aviation Civile à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1782803)
La Commission nationale de l'informatique et des libertés,
Saisie par l’établissement public intercommunal de la fondation Albert Jean d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la coordination des soins aux personnes adultes en situation de handicap prises en charge ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L.121-6-2, L. 311-1, L.311-3, L. 312-1, R. 314-1, D. 312-162 à D. 312-169 ; 
Vu la loi n° 2002-2 du 2 janvier 2002 rénovant l’action sociale et médico-sociale ;
Vu la loi n° 2005-102 du 11 février 2005 pour l’égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées ;
Décret n° 2005-223 du 11 mars 2005 relatif aux conditions d'organisation et de fonctionnement des services d'accompagnement à la vie sociale et des services d'accompagnement médico-social pour adultes handicapés ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’établissement public intercommunal de la fondation Albert Jean (EPIFAJ), association reconnue d’utilité publique, régie par la loi de 1901, accueille des personnes en situation de handicap. 
Il est composé des services d’accompagnement médico-sociaux suivants :
Service d’accompagnement à la vie sociale (SAVS) ;
Etablissement et Service d’Aide par le Travail (ESAT) ;
Foyer de Vie ;
Atelier de jour ;
Service d’Accueil Familial (SAF).
Ces services visent à favoriser l’autonomie des personnes et proposent donc une assistance pour tout ou partie des actes essentiels de la vie quotidienne (SAVS). Ils assurent un service d’hébergement pour personnes handicapées adultes (foyer de vie) et permettent également à des personnes handicapées d’exercer une activité dans un milieu ouvert (ESAT).
Sur la finalité
Le traitement poursuit les finalités suivantes :
Améliorer l’évaluation des besoins et des difficultés, la prise en charge sanitaire et médico-sociale, ainsi que le suivi des personnes adultes présentant un handicap, en permettant le partage sécurisé entre les acteurs médicaux, para-médicaux et sociaux des services, des informations nécessaires à un accompagnement et à une prise en charge coordonnée et adaptée aux besoins des personnes suivies.
Améliorer, la qualité, la coordination et la continuité de la prise en charge entre tous ces intervenants, en fonction des besoins des adultes handicapés identifiés comme prioritaires.
Améliorer l’évaluation des besoins et des difficultés, la prise en charge sanitaire et médico-sociale, ainsi que le suivi des personnes adultes présentant un handicap, en permettant le partage sécurisé entre les acteurs médicaux, para-médicaux et sociaux des services, des informations nécessaires à un accompagnement et à une prise en charge coordonnée et adaptée aux besoins des personnes suivies.
Améliorer, la qualité, la coordination et la continuité de la prise en charge entre tous ces intervenants, en fonction des besoins des adultes handicapés identifiés comme prioritaires.
La Commission considère les finalités poursuivies comme déterminées, légitimes et explicites au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
Il convient de faire application de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des appréciations sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives à : 
l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
la vie personnelle (situation familiale, habitude vie) ;
la vie professionnelle (CV, situation professionnelle, scolarité, formation) ;
les revenus (aides financières) ; 
les appréciations sur les difficultés sociales des personnes (aides et droits sociaux, vie sociale).
Ces données apparaissent pertinentes au regard des finalités poursuivies conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
La Commission prend acte que seuls les professionnels dûment habilités intervenant dans la prise en charge des usagers et soumis à une obligation de confidentialité peuvent accéder aux données utiles à l’accompagnement, dans la limite de leurs attributions respectives et la stricte mesure nécessaire à l’exercice de leurs missions.Par ailleurs, les données utiles à la coordination de la prise en charge de la personne peuvent être transmises au personnel dûment habilité d’un établissement de santé ou médico-social (ARS / MDPH) ou à des organismes (Conseil départemental / CAF / mandataire judiciaire) qui interviennent dans la prise en charge dès lors que ces données sont strictement nécessaires à l’exercice de leurs missions.La Commission considère que ces destinataires présentent un intérêt légitime à connaître les données mentionnées dans les conditions ci-dessus énumérées.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées ou leurs représentants légaux sont informés, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’envoi d’un courrier personnalisé.Les patients ont la possibilité de mettre fin à leur accompagnement à tout moment et ils en sont clairement informés.Les droits d’accès, de rectification et d’opposition s’exercent auprès de l’établissement public intercommunal de la fondation Albert Jean - 3 route d’Ablemont - 76730 Bacqueville-en-Caux.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs.La Commission recommande que les accès à l’application fassent l’objet d’une journalisation. Elle rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Les échanges de données effectuées sur internet sont sécurisés par des procédés de chiffrement de transport des données, en conformité avec l’architecture technique préconisée par la Commission (HTTPS).Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant la période d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier.Au terme de cette durée, les données seront soit archivées, soit supprimées, sauf dispositions législatives ou réglementaires  contraires. La Commission considère que cette durée de conservation apparaît pertinente au regard de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’établissement public intercommunal de la fondation Albert Jean à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1881410)
La Commission nationale de l'informatique et des libertés,
Saisie par SMABTP d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des conditions d’honorabilité relatives aux dirigeants et responsables de fonctions clés au sein des sociétés du groupe SMA ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2009/138/CE du Parlement européen et du Conseil du 25 novembre 2009 sur l'accès aux activités de l'assurance et de la réassurance et leur exercice (solvabilité II), modifiée en dernier lieu par la directive 2014/51/UE du Parlement européen et du Conseil du 16 avril 2014 modifiant les directives 2003/71/CE et 2009/138/CE et les règlements (CE) n° 1060/2009, (UE) n° 1094/2010 et (UE) n° 1095/2010 en ce qui concerne les compétences de l'Autorité européenne de surveillance (Autorité européenne des assurances et des pensions professionnelles) et de l'Autorité européenne de surveillance (Autorité européenne des marchés financiers) ;
Vu le code des assurances et notamment son article L.322-2 ;