AgentPublic/cnil huggingface dataset:
A cet égard, la Commission rappelle que le droit d'accès indirect, tel que prévu par l'article 41 de la loi du 6 janvier 1978 modifiée, n'emporte pas un droit à communication des données. En contrepartie de ce régime d'exception, le contrôle du juge administratif porte sur l'appréciation du refus de communication opposé par le responsable du traitement au regard de la sûreté de l'Etat, de la défense ou de la sécurité publique. Ce contrôle peut dès lors avoir pour conséquence d'autoriser la communication desdites données.
Ainsi, alors que les juridictions administratives de droit commun peuvent décider soit du rejet de la requête, soit de l'annulation de la décision de refus de communication des données par le responsable du traitement, les dispositions législatives projetées ne permettront en aucun cas aux nouvelles formations de jugement de confirmer ou d'infirmer, auprès de la personne, la présence de données dans le traitement .
Dès lors, la Commission considère que le projet de loi marque un recul important par rapport aux garanties apportées par le dispositif actuel s'agissant du droit d'accès aux données. Elle estime qu'en privant les formations spécialisées en ce domaine de tout pouvoir d'appréciation concernant le bien-fondé du refus de communication des données initialement opposé, le projet de loi affecte la protection du droit des personnes.
En outre, si l'objectif principal est de faire en sorte que, contrairement à la jurisprudence actuelle, l'examen par le juge puisse être opéré hors du contradictoire afin de protéger les informations concernées, la Commission estime que le dispositif actuellement en vigueur aurait pu être aménagé en ce sens, à l'instar de ce qui est prévu par l'article 7 du présent projet de loi concernant les actes réglementaires et individuels relatifs à l'organisation et à la situation des agents des services de renseignement spécialisés. 
En tout état de cause, la Commission rappelle que ce projet de loi ne saurait la priver ni de sa faculté d'être avisée des recours engagés ni de celle de faire valoir ses observations.
Un nombre important de contentieux est actuellement en cours devant les juridictions administratives de droit commun. La Commission estime dès lors que si ces dispositions devaient être adoptées par le législateur, elles devraient s'accompagner de dispositions transitoires. 
Sur les autres dispositions du projet de loi 
L'article 8 du projet de loi vise à modifier l'article L. 561-26 du code monétaire et financier afin d'élargir l'étendue du droit de communication des agents de la cellule de renseignement financier nationale (TRACFIN), qui constitue un tiers autorisé à accéder à de nombreuses données à caractère personnel.
Il est ainsi prévu que ces agents puissent obtenir, auprès de toute entreprise de transport (terrestre, ferroviaire, maritime, aérien) ou d'un opérateur de voyage ou de séjour, des éléments permettant d'identifier des personnes ayant payé ou bénéficié d'une prestation ainsi que des éléments relatifs à la nature de cette prestation et s'il y a lieu, aux bagages et marchandises transportées. La Commission observe à cet égard que l'étude d'impact du projet de loi précise que les éléments d'information relatifs à la nature de la prestation rendue ne concernent que la date, heure et lieu de départ et d'arrivée . Dès lors, elle recommande que cette restriction figure expressément dans le projet de loi.
Par ailleurs, la Commission relève qu'aucune précision n'est apportée quant aux modalités d'exercice de ce droit de communication, alors même que ces précisions apparaissent dans les autres dispositions du même code relatives au droit de communication de TRACFIN. 
Au vu des objectifs poursuivis, ces dispositions n'appellent pas d'observations particulières. La Commission rappelle néanmoins que ces accès doivent s'exercer dans les conditions habituelles s'agissant d'un droit de communication, c'est-à-dire sur demande ponctuelle et motivée, portant sur des personnes préalablement identifiées et sans aboutir à la transmission de fichiers entiers ou à des interconnexions de traitements.
L'article 10 du projet de loi modifie enfin certaines dispositions de la loi n° 2009-1436 du 24 novembre 2009 pénitentiaire, notamment en vue de faire face à l'introduction, dans les établissements pénitentiaires, de téléphones portables en contravention des règles prévues par les textes en la matière. Ainsi, l'administration pénitentiaire pourra mettre en place des mesures de brouillage, d'écoute ou d'interception des correspondances émises ou reçues sur un matériel introduit frauduleusement dans un établissement pénitentiaire, lorsque le maintien de la sécurité et du bon ordre des établissements, la prévention de la récidive ou la protection des intérêts des victimes l'exigent. 
D'une manière générale, la Commission estime que la mise en œuvre de mesures de surveillance des matériels introduits de manière frauduleuse dans les établissements pénitentiaires ne soulève pas de difficultés particulières. 
Néanmoins, elle relève qu'il n'est pas expressément fait référence, pour ces interceptions ou écoutes, aux techniques utilisées, et notamment aux dispositifs techniques de proximité prévus dans des dispositions distinctes, et estime que le projet de loi devrait être précisé sur ce point. 
En outre, dès lors que le projet de loi prévoit que les personnes nouvellement écrouées seront informées de la mise en œuvre de ces dispositifs, il serait opportun d'uniformiser l'information de l'ensemble des personnes détenues.
L'article 10 du projet de loi permet par ailleurs à l'administration pénitentiaire de mettre en œuvre tout dispositif de contrôle, captation, fixation ou enregistrement de données permettant de contrôler si le matériel informatique ou tout matériel assimilé sont régulièrement détenus. La Commission rappelle que l'administration procède déjà au contrôle des matériels informatiques détenus par les personnes placées sous main de justice, conformément aux dispositions réglementaires du CPP. Elle prend acte que cette possibilité sera dorénavant prévue dans des dispositions législatives, qui permettront en outre d'installer des logiciels permettant de détecter les connexions frauduleuses. 
La Présidente
 I. FALQUE-PIERROTIN
La Présidente,
[...] 
Par courrier recommandé avec A/R n°2C05455183988 
Références à rappeler dans toute correspondance :ACB/MDM141066 - CTX n° 2013-034CTRL n° 2014-107C - n° 2014-121C - n° 2014-124C - n° 2014-125C 
Paris, le 19 mars 2015,
Monsieur le Gérant, 
Je fais suite à la décision n°2014-051 que j'ai prise le 14 octobre 2014 mettant en demeure la société X exploitant les magasins Y ainsi qu'aux échanges qui ont suivi. 
Au regard des éléments de réponse apportés, je vous informe que j'ai décidé de procéder à la clôture de votre dossier ainsi que des procédures de contrôle n° 2014-107C, 2014-121C, 2014-124C et 2014-125C. 
S'agissant de la collecte de données par les dispositifs de vidéosurveillance, vous indiquez avoir procédé, pour l'ensemble de vos magasins, au masquage ou au repositionnement des caméras déployées dans les zones réservées aux salariés afin qu'elles ne les placent plus sous surveillance constante. Une telle mesure corrective, assortie des captures d'écran de la quasi totalité des 16 caméras visées à la mise en demeure attestant de masquages effectifs, permet de conclure à la mise en conformité de votre organisme sur ce manquement.
S'agissant de l'information des salariés relative au dispositif de vidéosurveillance, je relève que celle-ci est diffusée par voie d'affichage dans les locaux réservés au personnel et par mention portée au règlement intérieur dont les salariés reçoivent copie lors de leur embauche. Ces dispositions combinées permettent d'assurer un niveau d'information satisfaisant. Je vous rappelle toutefois, s'agissant du droit applicable, que les zones non accessibles au public sont exclusivement soumises à la législation issue de la loi du 6 janvier 1978 modifiée. Ce sont les zones librement accessibles au public (espace de vente, par exemple) qui relèvent du Code de la sécurité intérieur.   Je vous informe, par ailleurs, que s'il était constaté à l'occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l'encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, la Présidente de la Commission pourrait procéder à la désignation d'un rapporteur, qui vous serait notifiée, sans qu'une nouvelle mise en demeure ne vous soit adressée préalablement. En tout état de cause, j'attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
A cette fin, je vous invite à étudier avec la plus grande attention la possibilité de désigner un correspondant Informatique et Libertés qui constitue un moyen efficace de veiller à la bonne application de la loi, tout en exonérant l'organisme qui s'en est doté de toute obligation de déclaration de ses fichiers. Vous trouverez toutes les informations nécessaires sur le site Internet de la Commission (www.cnil.fr). 
Le service des sanctions reste à votre disposition pour tout complément d'information. 
Je vous prie, Monsieur le Gérant, d'agréer l'expression de mes salutations distinguées. 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par les ministres des affaires sociales et de la santé, de l'économie et des finances et la ministre déléguée chargée des personnes âgées et de l'autonomie d'une demande d'avis concernant la mise en œuvre d'un traitement de données à caractère personnel relatif à un dispositif d'enquêtes portant sur la perte d'autonomie des seniors, dénommé  Capacités, Aides et Ressources des seniors  ( CARE ) ; Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 7817 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-1-1°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Après avoir entendu M. Nicolas COLIN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :Les ministres des affaires sociales et de la santé, de l'économie et des finances et la ministre déléguée chargée des personnes âgées et de l'autonomie ont saisi la CNIL d'un projet de décret en Conseil d'Etat autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel relatif à un dispositif d'enquêtes portant sur la perte d'autonomie des seniors, dénommé  Capacités, Aides et Ressources des seniors  ( GARE ).Le dispositif d'enquêtes  GARE  a pour objectifs :
- de suivre l'évolution de la dépendance ;- d'estimer le reste à charge lié à la dépendance ;- et de mesurer l'implication de l'entourage auprès de la personne âgée.
Il comprendra deux phases d'enquêtes :- l'enquête  CARE en ménages  qui sera menée à partir du 1er mai 2015 concernera 15 000 personnes ;- l'enquête  CARE en institutions  qui sera menée à partir du 1er septembre 2016 concernera 5 000 personnes.
Le traitement sera mis en œuvre par la direction de la recherche, des études, de l'évaluation, des statistiques (DREES), service statistique du ministère des affaires sociales et de la santé.Chacune des deux enquêtes  CARE en ménages  et  CARE en institutions  se décompose en deux volets distincts, qui comprendront :- un volet  Senior  qui :- pour l'enquête  CARE en ménages  portera sur les personnes âgées de 60 ans ou plus, vivant en logement ordinaire en France métropolitaine,- et pour l'enquête  CARE en institutions  portera sur les personnes âgées de 60 ans ou plus, vivant en établissements d'hébergement pour personnes âgées,- et un volet  Aidant  qui, pour les deux enquêtes  CARE en ménages  et  CARE en institutions , portera sur les personnes aidantes, âgées de 18 ans ou plus, déclarées par les personnes âgées précitées.Le dispositif d'enquêtes  GARE  nécessite plusieurs appariements de données issues de bases mises en œuvre et maintenues par de multiples acteurs, certains appariements imposant l'utilisation du NIR des sujets de l'enquête, et le cas échéant de leurs ouvrants droit.En effet, l'utilisation du NIR est nécessaire pour apparier les données issues des enquêtes  CARE en ménages  et  CARE en institutions  avec :
- les données issues du système national d'information inter-régimes de l'assurance maladie (SNIIRAM) dont la Caisse nationale d'assurance maladie des travailleurs salariés (CNAMTS) assume la responsabilité, afin de disposer des consommations de soins des sujets de l'enquête ;- les données issues des bases de données des caisses de retraite, à savoir la Caisse nationale d'assurance vieillesse (CNAV) et de la Caisse centrale de la mutualité sociale agricole (CCMSA), afin de recueillir directement auprès de ces organismes les prestations versées par eux ;- les données d'état civil issues du répertoire national de l'identification des personnes physiques (RNIPP) dont l'INSEE assume la responsabilité, afin de suivre la mortalité des sujets de l'enquête.
Par ailleurs, d'autres appariements de données, qui ne nécessitent pas l'utilisation du NIR des sujets de l'enquête, sont organisés.Il s'agit de relier les données issues du dispositif d'enquêtes  CARE  avec :
- les données fiscales issues des bases de données de la Direction générale des finances publiques (DGFIP), des bases de données de la Caisse nationale d'allocations familiales (CNAF), de la CNAV, de la CCMSA et du RSI afin de disposer de données relatives aux revenus imposables et non imposables des membres du ménage du sujet de l'enquête,- les données issues de la base permanente des équipements (SPE) détenue par l'INSEE, afin de disposer d'informations relatives à l'accessibilité des équipements et services depuis le logement du sujet de l'enquête,- et les données administratives issues des bases de données des conseils généraux sur l'allocation personnalisée d'autonomie (APA), l'aide sociale à l'hébergement (ASH) et la prestation de compensation du handicap (PCH), afin d'améliorer le calcul du restant à charge lié à la dépendance.
Le texte soumis à la CNIL pour avis est pris en application de l'article 27-I-1° de la loi du 6 janvier 1978 modifiée qui soumet à un décret en Conseil d'État, pris après avis motivé et publié de la CNIL, les traitements de données à caractère personnel mis en œuvre pour le compte de l'État qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR).Sur la finalité du traitement :Aux termes de l'article 1er du projet de décret, celui-ci a vocation à autoriser  la mise en œuvre par la DREES du ministère des affaires sociales et de la santé d'un traitement automatisé de données individuelles relatives à une enquête nationale portant sur la perte d'autonomie des seniors, dite  Capacités, Aides et Ressources des seniors  ou CARE.Le traitement a pour finalité de suivre l'évolution de la dépendance, d'estimer le reste à charge lié à la dépendance pour les personnes âgées concernées et de recenser les aides humaines et techniques nécessaires à la prise en charge de la dépendance .La commission considère que, eu égard à l'intérêt de santé publique que présente cette étude, la création de ce traitement et les finalités ainsi poursuivies sont déterminées et légitimes.Sur les modalités d'organisation du dispositif d'enquêtes  GARE  :L'article 2 du projet de décret précise :
- qu'une première collecte d'informations par enquête aura lieu en 2015, auprès de personnes âgées de 60 ans ou plus vivant à domicile,- qu'une seconde collecte aura lieu auprès de personnes âgées de 60 ou plus séjournant de manière permanente dans des établissements d'hébergement pour personnes âgées au second semestre 2016,- et que des enquêtes ultérieures pourront être mises en œuvre auprès des sujets de l'enquête sous réserve de leur accord.
Sur ce dernier point, la commission prend acte, qu'à sa demande, l'article 2 du projet de décret précise que des formalités préalables seront réalisées auprès de la CNIL.Sur la nature des données traitées :L'article 3 du projet de décret énumère les données collectées directement auprès des sujets de l'enquête.Ces données concernent :
- l'identification des personnes (à savoir, leurs nom de naissance, nom d'usage, prénoms, sexe, date et lieu de naissance, NIR),- le cas échéant l'identification de l'ouvrant droit de la personne faisant l'objet de l'enquête (à savoir ses nom de naissance, nom d'usage, prénoms, date et lieu de naissance et NIR),- l'état de santé et le recours aux soins,- les limitations fonctionnelles et les restrictions d'activité,- les différentes formes d'aides techniques nécessaires et/ou utilisées,- la situation familiale, les revenus et prestations, les dépenses contraintes,- les différentes formes d'aides humaines reçues, professionnelle et/ou de l'entourage et leur coût,- et le cas échéant, l'identification (nom d'usage, prénom, adresse postale et coordonnées téléphoniques) des personnes de leur entourage qui leur apportent de l'aide.
Compte tenu des appariements permettant un enrichissement du traitement de données à caractère personnel projeté, la commission prend acte, qu'à sa demande, l'article 3 du projet de décret sera complété afin de préciser les données collectées indirectement et traitées par la DREES dans le cadre de l'enquête  CARE , à savoir :
- l'adresse postale du sujet de l'enquête ;- ses revenus fiscaux et sociaux ;- sa consommation de soins et son statut vital ;- ainsi que les équipements et services situés à proximité de son lieu de vie.
Ces données n'appellent pas d'observation de la part de la commission, dès lors qu'elles sont pertinentes, adéquates et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.Sur la durée de conservation des données :L'article 8 du projet de décret prévoit deux durées de conservations distinctes, en fonction des données et des finalités poursuivies.Concernant les données d'identification des sujets de l'enquête (à savoir leurs nom, prénoms, date et lieu de naissance, NIR) et le cas échéant de leurs ouvrants droit (à savoir ses nom, prénoms, date et lieu de naissance et NIR), une durée de conservation de cinq ans, après la fin de la collecte des données, est prévue.La commission prend acte de ce que cette durée de conservation a vocation à permettre, d'une part, les appariements de données, et d'autre part, la réalisation d'études ultérieures.Eu égard aux deux finalités poursuivies, justifiant une conservation pendant cinq ans, cette durée de conservation n'appelle pas d'observation de la part de la commission.En revanche, concernant le NIR des sujets de l'enquête, l'article 8 du projet de décret en Conseil d'État prévoit une durée de conservation de quinze ans et ce afin de suivre leur mortalité.Sur ce point, la commission prend acte qu'à sa demande et afin notamment de respecter les dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée que l'article 8-11
du projet de décret précisera que le NIR des sujets de l'enquête sera supprimé dès l'obtention de la mention du décès de la personne et le cas échéant passé le délai maximum de quinze ans.Par ailleurs, la commission prend acte qu'à sa demande, conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée, le projet de décret ne prévoit plus la conservation des données directement ou indirectement identifiantes par la DREES mais uniquement la conservation des données indirectement identifiantes. En effet, le ministère, à la demande de la commission, s'engage à modifier le projet de décret en précisant que la DREES conservera les données issues de l'enquête, à l'exception des données directement identifiantes des sujets de l'enquête.Dès lors, qu'il s'agit de données à caractère personnel, la commission demande que le projet de décret précise leur durée de conservation, ou au contraire que les données seront rendues totalement anonymes à l'issue des durées de conservation précitées.Ensuite, la commission prend acte que l'article 8 du projet de décret précise que  le NIR des personnes enquêtées sera conservé à l'INSEE pendant quinze ans dans un fichier distinct .Cependant, cette précision ne semble pouvoir s'appliquer qu'à l'enquête  CARE en ménages , le prestataire chargé de la mise en œuvre de l'enquête  CARE en institutions  n'étant pas désigné.La commission propose que cette mention soit complétée, afin de prendre en compte l'enquête  CARE en institutions , le projet de
décret portant création d'un traitement de données relatif au dispositif d'enquêtes  CARE , incluant les deux enquêtes.Enfin, la commission prend acte qu'à sa demande le projet de décret, dans ses articles 3, 5 et 8-11, précisera que les données d'identification des sujets enquêtés, et les collectées et traitées dans le cadre du dispositif d'enquêtes  CARE .seront conservées séparément.Sur les destinataires des données :L'article 6 du projet de décret en Conseil d'Etat précise que la DREES est rendue destinataire des fichiers de données individuelles (...)  ne permettant aucune identification directe ou indirecte des personnes auprès desquelles l'enquête a été réalisée .Sur ce point, la commission prend acte qu'à sa demande le projet de décret sera modifié afin de préciser que la DREES ne sera rendue destinataire que des données ne permettant pas une identification directe des personnes, et que seules les données suivantes leur seront transmises :
- l'état de santé et le recours aux soins ;- les limitations fonctionnelles et les restrictions d'activité ;- les différentes formes d'aides techniques nécessaires et/ou utilisées ;- la situation familiale, les revenus et prestations, les dépenses contraintes ;- les différentes formes d'aides humaines reçues, professionnelle et/ou de l'entourage et leur coût ;- les revenus fiscaux et sociaux ;- la consommation de soins et le statut vital ;- ainsi que les équipements et services situés à proximité des lieux de vie des sujets de l'enquête.
Par ailleurs, l'article 7 du projet de décret en Conseil d'Etat précise que :- les archives de France, conformément aux dispositions du code du patrimoine sont destinataires des données indirectement identifiantes collectées dans le cadre du dispositif d'enquêtes  CARE ,- et que les données sont communicables dans les conditions prévues par le décret d'application de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques.
Sur ce point, le projet de décret n'appelle pas d'observation particulière de la commission dès lors qu'il s'agit d'organismes légalement habilités à demander communication des données traitées conformément aux dispositions de l'article 3-II de la loi du 6 janvier 1978 modifiée.Sur l'information des personnes :L'article 4 du projet de décret précise que les NIR seront recueillis par les enquêteurs auprès des sujets de l'enquête, après avoir reçu, sous la responsabilité de la DREES, une information suffisante sur les conditions d'utilisation et de conservation de cette donnée.Par ailleurs, l'article 9 du projet de décret dispose que les droits d'accès et de rectification, tels que prévus aux article 39 et 40 de la loi du 6 janvier 1978 modifiée s'exerce :
- auprès de la direction générale de l'INSEE ou des directions régionales et interrégionales de l'INSEE pour les personnes faisant l'objet de l'enquête  CARE en ménages ,- et auprès du prestataire sous la responsabilité de la DREES pour les personnes faisant l'objet de l'enquête  CARE en institutions .