AgentPublic/cnil huggingface dataset:
Considérant que se trouve ainsi constituée une base de données unique regroupant les membres de toutes les catégories des personnels enseignants, les emplois ainsi que les membres du Conseil national des universités ; qu'il permet de rapprocher les informations relatives aux emplois et aux personnels enseignants, afin de contrôler leur concordance et de permettre la mise en relation d'un emploi et d'un agent, de permettre l'évolution du système d'informations et la maintenance de l'application, liées notamment aux mesures de déconcentration, de constituer l'historique des carrières et des emplois, d'éditer des états de gestion et des statistiques chez l'utilisateur ou, au centre de traitement si le volume est important ;   Considérant que le système utilise également des informations relatives au recrutement saisies dans l'application AFFECTATION SUP et concerne l'affectation des professeurs d'université et des maîtres de conférence en fonction des résultats des concours ;   Considérant que le traitement GESUP prévoit pour la rentrée universitaire 1994/1995 et dans le cadre d'un projet expérimental de déconcentration de la gestion des personnels de l'enseignement supérieur, la création d'un serveur télématique ayant pour vocation de mettre à la disposition des établissements des informations sur les emplois vacants en vue des mutations, des détachements et des recrutements ; que ces informations permettent aux instances des établissements de proposer des publications
d'appel de candidature en vue des mutations, détachements et des recrutements et ne présentent aucun caractère nominatif ;
Considérant que les informations traitées sont relatives aux nom, prénom, sexe, date de naissance, au numéro matricule national de l'éducation nationale (NUMEN) et, le cas échéant, au numéro de qualification pour l'accès à certains corps de l'enseignement supérieur, à la nationalité, au nombre d'enfants pour le calcul de la pension de retraite, à la situation administrative et, notamment, corps, grade, échelon, affectation et notation ; que la nationalité est collectée pour permettre à l'Etat français de procéder aux vérifications nécessaires en sa qualité d'employeur afin de respecter la législation nationale et les conventions internationales ;    Considérant que sont destinataires des informations, dans la limite de leurs attributions respectives et pour l'accomplissement de leur mission : les services gestionnaires des emplois, des personnels, des traitements et des pensions dans les établissements d'enseignement supérieur, les rectorats et les administrations centrales des ministères chargés de l'enseignement supérieur et de l'éducation, y compris pour ces dernières, les services chargés des relations internationales et du fonctionnement du Conseil national des universités, les membres du Conseil national des universités, les services gestionnaires des personnels hospitaliers et universitaires du ministère chargé de la santé, les autres destinataires ne peuvent recevoir communication que d'informations agrégées non nominatives (INSEE, CREDOC, Documentation française,
par exemple) ;
Considérant que, à l'instar du personnel enseignant des premier et second degrés de l'éducation nationale et des personnels administratifs, ouvriers et de service, le personnel enseignant du supérieur se voit attribuer son propre NUMEN ; que lors de la saisie du dossier d'un enseignant dans la base de données GESUP, soit l'enseignant possède déjà un NUMEN et est alors enregistré sous ce numéro de base, soit l'enseignant n'a jamais été immatriculé, auquel cas le système GESUP lui attribue automatiquement un numéro qui sera transmis ultérieurement à l'intéressé ;    Considérant que, conformément aux demandes exprimées par la CNIL lors des précédents dossiers déposés par le ministère de l'éducation nationale, la notification du NUMEN à l'intéressé se fera sous pli confidentiel aux chefs d'établissements chargés de remettre l'identifiant à chaque enseignant ou en recommandé avec demande d'avis de réception à la dernière adresse connue pour les enseignants qui ne sont pas en service dans un établissement ;   Considérant que des échanges de données sont organisés avec deux autres traitements automatisés : le système emplois-postes-personnels de gestion des enseignants du second degré et la base de gestion des pensions gérées par la direction générale et financière et du contrôle de gestion du ministère de l'éducation nationale ;
Considérant que le droit d'accès garanti par l'article 34 de la loi du 6 janvier 1978 ne s'exercera qu'auprès de la sous-direction des personnels enseignants ; qu'il sera porté à la connaissance des intéressés par la publication au Journal officiel et au Bulletin officiel du ministère de l'éducation nationale de l'arrêté créant l'application ; qu'il pourra également être rappelé sur les décisions individuelles faisant l'objet d'une édition papier par l'application ;   Considérant que l'exercice du droit d'accès confirme la gestion exclusive par les services de l'administration centrale ;    Considérant que le système de sécurité d'accès à GESUP prévoit l'attribution d'un code confidentiel permettant de limiter l'accès à cette base de données ; qu'il est constitué de six caractères alphanumériques et doit être modifié périodiquement par le responsable de l'unité gestionnaire ; que le dispositif de sécurité permet de limiter aux unités gestionnaires l'accès aux seules informations strictement nécessaires à l'exercice de leurs compétences ; 
   EMET un AVIS FAVORABLE au projet d'arrêté présenté par le ministre de l'enseignement supérieur et de la recherche.   Jacques FAUVET
La Commission Nationale de l'informatique et des Libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;   Vu la loi 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et le décret n° 774 du 17 juillet 1978 pris pour son application ;   Vu les délibérations n° 91-128 du 17 décembre 1991 et 93-014 du 9 février 1993 portant sur des traitements présentés par FRANCE TELECOM concernant la mise en place d'une messagerie vocale dans les publiphones ;   Vu l'article 226-13 du Code Pénal relatif à l'atteinte au secret professionnel ;   Vu l'article L. 41 du Code des Postes et Télécommunications ;   Vu le décret n° 90-1112 du 12 décembre 1992 portant statut de France Télécom ;   Après avoir entendu Monsieur Marcel PINET, Commissaire, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement, en ses observations ;   Vu le projet d'acte réglementaire présenté par FRANCE TELECOM ;
Considérant que la Commission a été saisie par FRANCE-TELECOM d'une demande d'avis relative à la mise en oeuvre d'un traitement automatisé d'informations nominatives permettant la mise en place d'une messagerie vocale dans les publiphones ;   Considérant que les informations collectées sont les numéros des abonnés appelés et les messages à leur délivrer ;   Considérant que les numéros des abonnés appelés ne sont conservés que pendant la durée nécessaire à la transmission du message de l'appelant, et qu'il en est de même pour le contenu du message ;   Considérant qu'il ne sera possible d'accéder à ce service qu'en cas d'absence momentanée du correspondant ou de ligne occupée, et ce en actionnant une touche spécifique du publiphone ;   Considérant que sa mise en oeuvre fait l'objet de mesures de sécurité suffisantes ;   Prend acte de ce que la mise en oeuvre du traitement ne sera faite que dans les publiphones dotés d'un dispositif technique soumettant effectivement l'accès au service de la messagerie vocale à la constatation préalable de la réalité d'une tentative d'établissement de liaison téléphonique n'ayant pas abouti par suite de l'absence du correspondant ou de l'occupation de son poste téléphonique ;
   EMET un avis favorable à la mise en oeuvre du traitement.   Le Président, Jacques FAUVET.
La Commission Nationale de l'Informatique et des Libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, ainsi que son décret d'application n° 78-774 du 17 juillet 1978 ;   Après avoir entendu Madame Louise CADOUX, Vice-président délégué, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;   ADOPTE le rapport et les conclusions, annexés à la présente délibération, portant sur la proposition modifiée de directive du Conseil de l'Union européenne relative à la protection des personnes physiques à l'égard des traitements des données à caractère personnel et à la libre circulation de ces données.
   Rapport sur la proposition modifiée de directive du Conseil de l'Union européenne relative à la protection des personnes physiques à l'égard des traitements des données à caractère personnel et à la libre circulation de ces données.
La CNIL estime, au stade actuel des travaux engagés sur la proposition de directive, devoir examiner les deux questions suivantes :   - la voix et l'image doivent-elles être incluses dans la définition des "données personnelles" prévue à l'article 2 a) de la proposition de directive ?   - les dérogations ménagées par la proposition de directive sont-elles acceptables ?   Sur l'inclusion dans la directive de la voix et de l'image :   1 - La définition de la notion de "données à caractère personnel", notion contenue dans le titre même de la proposition de directive, est apportée à l'article 2 du texte européen. Il s'agit de "toute information concernant une personne identifiée ou identifiable" ; le texte poursuit : "est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale".   Ce texte est plus précis, on le soulignera, que le texte de la convention 108 qu'applique la France depuis le 1er octobre 1985, dont l'article 2 concernant les définitions, se bornait à disposer : "Aux fins de la présente convention : a) "Données à caractère personnel signifie : toute information concernant la personne physique identifiée ou identifiable ...".   Dans aucun de ces textes, la terminologie de la loi française "informations nominatives", n'est reprise. Mais, qu'il
s'agisse "de données personnelles" ou d"'informations nominatives", on voit bien que les rédacteurs de ces trois textes n'ont pas voulu s'arrêter aux adjectifs, qu'ils ont éprouvé le besoin d'éclairer le lecteur par des définitions qui ont ceci en commun qu'elles se référent à la donnée ou l'information identifiant ou permettant, même indirectement, l'identification des personnes.
2 - L'image ou la voix d'une personne répondent-elles, par elles-mêmes, à cette définition ?   Il est clair que, dans la pensée des auteurs de tous ces textes, il n'est pas nécessaire d'avoir identifié une personne, d'avoir mis un nom sur la photo d'un visage ou sur une séquence vocale, pour entrer dans le champ d'application de ces dispositions. Plus même que la loi française ou la convention 108, la proposition de directive en se référant à l'identité physique de la personne prend le parti d'inclure les critères biométriques dans l'identification des personnes.   Ajoutons que si la photographie, de face et/ou de profil, permet déjà d'identifier une personne et de détecter des usurpations d'identité, (c'est le cas de l'utilisation de cartes d'identité perdues ou volées), l'image vidéo ou l'image animée le permettent mieux encore.   Entrent en ligne de compte différents facteurs sociaux : le degré de célébrité de la personne concernée : un homme politique, une vedette du monde du spectacle, sera identifiée par un grand nombre de personnes, quand pour l'homme de la rue, son visage, sa voix, ne seront identifiés, mais au moins le seront-ils, que par le cercle de sa famille, ses relations de travail, de loisirs, son quartier ou son village. De toute manière, il n'est pas nécessaire pour identifier une personne d'associer formellement un visage et un nom.
3 - Le tout numérique qui nous est promis pour le tournant du siècle nous envahira d'une profusion d'images et de sons : ubiquité, instantanéité, diffusion, seront les maîtres mots de cette société de l'information appelée de leurs voeux par les instances politiques les plus diverses.   Cette société proposera des images et des sons à profusion car elle disposera des supports techniques nécessaires : accroissement de la puissance de calcul des matériels et de transfert des signaux, logiciels de traitement, de stockage et de reconnaissance des visages et de la voix, parmi d'autres ; la numérisation de l'image et de la voix désormais à portée de main, en temps réel et en mode interactif, permettra d'offrir des services multimédia, où chacun dans son foyer, dans l'entreprise, sur ses lieux de détente, deviendra un acteur, cessant d'être la personne dont on ne traite que les données d'identification ou descriptives courantes que sont le nom, l'adresse, l'appartenance à une catégorie socio-professionnelle.   Or, pour un informaticien, une image numérisée ou une voix numérisée constituent des données qu'il est possible de traiter en ordinateur à l'égal d'un fichier de caractères alphanumériques.   Traitant de la voix et de l'image des personnes, une vigilance particulière devra s'exercer sur ces données, notamment, en raison de la très grande facilité d'altération de ces données : techniques du morphing, de l'incrustation, du mixage des sons/images réels et des sons/images de
synthèse ou virtuels, assemblages, effets spéciaux de toute nature qui permettront le truquage des données dès leur capture ; choix des algorithmes de compression .... Le devoir pour les responsables de traitements d'assurer la sécurité des données deviendra d'autant plus impérieux. Pour les personnes elles-mêmes, les droits d'information, d'accès, d'opposition et, d'une manière générale, les droits que leur accordent les législations de protection des données autour du principe de finalité et des règles de communication des données à des tiers, par exemple, constituent la garantie la plus importante que les personnes garderont la maîtrise du traitement de leurs données.   Dans le paragraphe que consacre le rapport Théry sur les autoroutes de l'information à la protection de la vie privée, et évoquant tout spécialement la loi du 6 janvier 1978, on relève "Le passage des services télématiques aux services multimédia ne change pas la nature du problème-même s'il est appelé à changer de dimension".
Sur les dérogations admises par la proposition de directive aux principes de protection des données personnelles :   Par rapport au texte du 18 avril 1994, la dernière version obtenue, comporte, de l'avis de la Commission nationale de l'Informatique et des Libertés, des améliorations sur les points suivants :   1° la nouvelle rédaction des Considérants 8 bis, 9 et 10, est de nature à rassurer l'Assemblée nationale (résolution du 25 juin 1993), le Sénat (résolution du 20 mai 1994), la Commission consultative des Droits de l'Homme (avis du 22 septembre 1994) et la CNIL elle-même dans les nombreuses notes qu'elle a rédigées, sur le principe du maintien par le texte de la directive du niveau de protection atteint par la loi française.   Il convient de se rappeler ici que la Cour de Luxembourg donne aux Considérants d'un texte communautaire une portée plus étendue que ne le fait notre jurisprudence nationale. En droit communautaire, les Considérants tirent leur force des méthodes d'interprétation de la Cour, dans la mesure où cette juridiction y recherche l'intention des rédacteurs et le contexte de l'élaboration du texte de manière à dégager l'effet utile à donner au traité. Or l'article F.2 du traité sur l'Union européenne, dit traité de Maastricht, précise bien que "l'Union européenne respecte les droits fondamentaux, tels qu'ils sont garantis par la convention européenne de sauvegarde des droits de l'homme signée à Rome le 4 novembre 1950, et tels qu'ils résultent des
traditions constitutionnelles communes des Etats membres, en tant que principes généraux du droit communautaire.   Les 2 Considérants 8 bis et 9, à l'évidence fruit d'un compromis, doivent faire l'objet d'une lecture globale. On doit, de l'avis de la Commission, en tirer les deux idées suivantes : après référence explicite dans le texte à l'article 8 de la convention européenne de sauvegarde des droits de l'homme, il est spécifié que le rapprochement des législations nationales "ne doit cas conduire à affaiblir la protection qu'elles assurent ..." (Considérant 9) ; au moment de la transposition de la directive en droit interne, il est même indiqué qu'"à cette occasion, les Etats membres s'efforceront d'améliorer la protection actuellement accordée par leur législation" (Considérant 8 bis).
Dès lors également, le Considérant 10, qui figurait déjà dans les 9 précédentes versions, trouve maintenant toute sa force, lorsqu'il énonce que "les principes de protection des droits et libertés des personnes, notamment de leur vie privée, ... "concrétisent et amplifient les principes figurant dans la convention du 28 janvier 1981". En outre, la CNIL ne peut être que satisfaite de la référence qui est faite dans ces Considérants, à l'article 8 de la convention européenne de sauvegarde des droits de l'homme.   Pour qu'il ne reste plus une ombre d'inquiétude, peut-être serait-il bon de suggérer à Bruxelles l'inscription, au procès-verbal de la séance examinant les Considérants de la directive, d'une remarque sur la portée des Considérants en droit communautaire.
2° Sur l'article 8 concernant les données sensibles : il est remédié aux deux principales failles relevées par la CNIL dans la version du 18 avril 1994 : au lieu d'être illustrative, et risquer de donner lieu par là à des interprétations différentes d'un Etat membre à l'autre, la liste des données sensibles est limitative et obligatoire (par. 1-1) ; l'exception du par. 2 c), à la règle du consentement qui gouverne, en principe, le recueil des données sensibles, lorsque "le traitement porte sur des données manifestement publiques" concerne désormais "le traitement portant sur des données manifestement rendues publiques par la personne concernée" ; la CNIL avait craint que la précédente rédaction eût pu être interprétée comme voulant se référer à des données "visibles", ce qui n'aurait pas manquer de renvoyer aux données révélant l'origine raciale (couleur de la peau, par exemple), sur lesquelles les personnes n'ont aucune maîtrise.   La Commission ne peut que se réjouir de cette nouvelle rédaction.
3° La CNIL avait dénoncé le fait que les exceptions à certains principes protecteurs posés par la directive (principe relatif à la qualité des données ; droit à l'information, droit d'accès, allégements sur l'obligation de notification des traitements, à la charge du responsable du fichier), soient mentionnées au titre des exceptions au droit d'accès. Cette présentation avait paru fallacieuse, exigeant trop de vigilance de la part du lecteur.   Dans la nouvelle version, les exceptions aux droits prévus dans la directive ou aux devoirs des responsables des traitements, sont regroupées dans un article distinct, intitulé "exceptions et limitations" faisant clairement apparaître l'étendue des dérogations. Si la forme est améliorée, sinon le fond sur lequel la Commission reviendra plus tard, un souci de plus grande clarté et de cohérence devrait conduire à consacrer aux exceptions et limitations une section à part.   4° Le droit d'opposition est désormais consacré, dans l'article 15, alors que nos partenaires étaient hésitants.   Cette consécration s'accompagne d'améliorations réactionnelles de fond dans la mesure où s'ajoute de manière très explicite au droit d'opposition pour des raisons légitimes que connaît notre droit, un droit pour la personne de s'opposer, sans avoir à donner de motifs, à l'utilisation de ses données à des fins de prospection commerciale.   5° La même observation peut bénéficier à l'article 16, relatif aux décisions individuelles automatisées et aux
profils, qui était encore récemment en discussion.
6° Sur la notification à la charge du responsable du traitement prévue à l'article 18 de la proposition de directive : la simplification ou l'exonération de notification en faveur "des catégories de traitements dont il est peu probable que, compte tenu des données à traiter, elles portent atteinte aux droits et libertés des personnes concernées", avec une référence, pour tracer la frontière entre traitements à notifier et traitements à exonérer de la notification, aux données sensibles, dont il est question dans le par. 2 de cet article 18 , a cessé d'être une obligation pour les Etats membres ; elle n'est plus qu'une faculté. Votre rapporteur avait souligné que, sous l'empire d'une législation imposant des allégements de notification, n'auraient plus pu être surveillés des traitements que la Commission estime devoir examiner alors même qu'ils ne traitent pas des données sensibles au sens de la directive, ni de la loi du 6 janvier 1978, tels les fichiers bancaires, le traitement des données sociales, les traitements de gestion de personnel, les fichiers fiscaux, de marketing, etc. .... Substituée à l'obligation, la faculté permet de maintenir la loi nationale.
7° Le nouveau texte impose, en son article 19 bis, aux Etats membres de prévoir, dans leur législation, l'examen préalable des "traitements susceptibles de présenter des risques spécifiques liés aux droits et libertés des personnes", sans référence au critère des données sensibles, alors que la version du 18 avril précédemment explorée, n'avait institué qu'une faculté à la charge des Etats et, encore avait-elle recommandé d'user du critère des données sensibles et de procéder à l'examen dans un délai de 2 mois.   Le Considérant 23, qui fait écho à la nouvelle version, et dont il convient de tenir compte, ainsi qu'il a été dit ci-dessus, apporte des compléments utiles sur l'exercice de ce contrôle en spécifiant "qu'à l'issue de cet examen, l'autorité de contrôle peut, conformément au droit national, rendre un avis sur le traitement envisagé" ou même, "l'autoriser".   On remarquera, toutefois, que la proposition de directive offre aux Etats la possibilité de confier, dans certains cas, l'examen des "traitements susceptibles de présenter des risques spécifiques liés aux droits et libertés" à "un détaché" désigné par le responsable du traitement, "qui en cas de doute, doit consulter l'autorité de contrôle". Cette solution, alternative à celle du contrôle exercé par l'autorité de contrôle, inspirée de la pratique allemande, ne pourrait être introduite en droit français que si les conditions de désignation de ce "détaché" - auquel il faudra trouver une autre dénomination ou du
moins une autre traduction que celle du texte actuel -, lui assurait un statut d'indépendance.