AgentPublic/cnil huggingface dataset:
Or, la norme simplifiée n° 48 dispose que les données de fréquentation brutes associant un identifiant ne doivent pas être conservées plus de six mois. De plus, le courrier du 24 janvier 2013 appelait déjà l'attention de la société sur la nécessité de se conformer à cette norme pour les données de fréquentation.
Ces faits sont de nature à constituer un manquement aux dispositions de l'article 6 de la loi n° 78-17 du 6 janvier 1978 qui prévoit qu' "Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : (...) 5° Elles sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées".
Il est par ailleurs rappelé qu'en application des articles 121-2, 131-37, 131-38 et 226-20 du code pénal combinés, le fait pour une personne morale de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d'autorisation ou d'avis, ou par la déclaration préalable adressée à la Commission nationale de l'informatique et des libertés, est puni d'une amende pouvant atteindre 1 500 000 euros.
Un manquement à l'obligation d'informer les personnes
L'article 32-I de la loi n° 78-17 du 6 janvier 1978 prévoit que "La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 
1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2° De la finalité poursuivie par le traitement auquel les données sont destinées ;
3° Du caractère obligatoire ou facultatif des réponses ;
4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ;
5° Des destinataires ou catégories de destinataires des données ;
6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre (droits des personnes à l'égard des traitements de données) ;
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un État non membre de la Communauté européenne.
Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°". 
Or, la délégation a constaté que les formulaires d'inscription aux lettres d'information ne comportent soit aucune mention d'information quant à la mise en œuvre du traitement de données à caractère personnel, soit une mention partielle.
En outre, la délégation a été informée que des comptes individuels utilisant le protocole FTPS sont définis pour le dépôt de fichiers par les clients et collaborateurs de la société. Mais elle a constaté que la possibilité d'utiliser le protocole FTP non sécurisé est toujours offerte aux clients et aux collaborateurs qui le souhaitent, ce qui rend caduque la mesure de sécurité. 
L'ensemble de ces faits constituent un manquement à l'article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée disposant que "le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès".
Il est rappelé qu'en application des articles 121-2, 131-37, 131-38 et 226-17 du code pénal combinés, le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l'article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée précitée est puni de 1 500 000 euros d'amende.
Un manquement à l'obligation d'assurer la confidentialité des données gérées par un sous-traitant
La société a conclu avec la société Y un contrat de prestation de service informatique, qui inclut notamment une prestation d'hébergement des données à caractère personnel.
La délégation a constaté que ce contrat ne contient pas de clause spécifique précisant les obligations du prestataire en matière de confidentialité des données à caractère personnel. 
Ces faits constituent un manquement aux dispositions de l'article 35 de la loi n° 78-17 du 6 janvier 1978 modifiée qui dispose notamment que "le contrat liant le sous-traitant au responsable du traitement comporte l'indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement".
Un manquement à l'obligation de respecter le droit d'opposition
La délégation a été informée que, pour faire droit à la demande des personnes de ne plus recevoir de sollicitation de la part de la société ou de ses partenaires, la société conserve uniquement l'adresse électronique et une version hachée de cette donnée.
En premier lieu, la délégation a pris copie d'une extraction de la base de données de la société concernant les 100 comptes les plus anciens ne possédant plus aucun abonnement à un des courriels envoyés par la société, classés par ordre chronologique de date de dernier désabonnement (fichier "extract-desabo-person"). Il s'agit de comptes de personnes qui se sont désabonnées via le bouton "Gérer mes abonnements".
La délégation a constaté que les personnes s'étant désabonnées de toutes sollicitations de la société ont continué à recevoir des courriels après la date de désabonnement. À titre d'exemple, la plus ancienne date de désabonnement remonte au 29 mars 2009. Or, la personne concernée a reçu un courriel le 16 février 2014.
En second lieu, la délégation a pris copie d'une extraction des 50 comptes les plus anciens dans la base de données de personnes ayant exprimé leur opposition à recevoir les sollicitations de la société par ordre de date d'opposition croissante (fichier "extract-blacklist-person"). Il s'agit de personnes ayant exercé directement leur droit d'opposition, par exemple en envoyant un courriel au Correspondant Informatique et Libertés de la société. 
La délégation a constaté que les personnes ayant exercé leur droit d'opposition ont continué à recevoir des sollicitations de la part de la société. À titre d'exemple, une personne s'étant opposée le 24 juin 2009 a reçu un courriel le 6 mars 2010.
Ces faits constituent donc un manquement aux dispositions de l'article 38 de la loi n° 78-17 du 6 janvier 1978 qui dispose que "Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur (...)".
En outre, il convient de rappeler que, en application des dispositions combinées des articles 121-2, 131-37, 131-38 et 226-18-1 du code pénal, le fait pour une personne morale de procéder à un traitement de données à caractère personnel concernant une personne physique malgré l'opposition de cette personne, lorsque ce traitement répond à des fins de prospection, notamment commerciale, ou lorsque cette opposition est fondée sur des motifs légitimes, est puni de 1 500 000 euros d'amende. 
Un manquement à l'obligation de veiller à l'adéquation, à la pertinence et au caractère non excessif des données
La délégation a constaté que la société conserve d'autres données que l'adresse électronique des personnes ayant exercé leur droit d'opposition, et notamment les données suivantes : nom, prénom, date de naissance, signe astrologique, code postal, date de dernière affichage des données à l'intérieur d'un courriel, date de dernier clic à l'intérieur d'un courriel et indice de réactivité.
Les faits précités constituent un manquement aux obligations découlant du 3° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, qui dispose que "les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs". 
En conséquence, la société X, sise [...], est mise en demeure, sous un délai de un (1) mois, à compter de la notification de la présente décision et sous réserve des mesures qu'elle aurait déjà pu adopter, de :
• ne pas traiter les données à des fins de prospection directe électronique, sans avoir au préalable recueilli le consentement libre, spécifique et informé des personnes concernées, notamment en mentionnant la liste exhaustive des lettres d'information auxquelles elles s'inscrivent ;
La Commission nationale de l'informatique et des libertés,Saisie par le ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet d'arrêté portant autorisation de traitements automatisés de données à caractère personnel relatifs au service dématérialisé des outils de gestion du Fonds social européen pour la période 2014-2020 ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu le règlement (UE) n° 1303/2013 du Parlement européen et du Conseil du 17 décembre 2013 portant dispositions communes relatives au Fonds européen de développement régional, au Fonds social européen, au Fonds de cohésion, au Fonds européen agricole pour le développement rural et au Fonds européen pour les affaires maritimes et la pêche, portant dispositions générales applicables au Fonds européen de développement régional, au Fonds social européen, au Fonds de cohésion et au Fonds européen pour les affaires maritimes et la pêche, et abrogeant le règlement (CE) n° 1083/2006 du Conseil ;Vu le règlement (UE) n° 1304/2013 du Parlement européen et du Conseil du 17 décembre 2013 relatif au Fonds social européen et abrogeant le règlement (CE) n° 1081/2006 du Conseil ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère
personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2014-580 du 3 juin 2014 relatif à la gestion de tout ou partie des fonds européens pour la période 2014-2020 ;Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie par le ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis sur un projet d'arrêté portant autorisation de traitements automatisés de données à caractère personnel relatifs au service dématérialisé des outils de gestion du Fonds social européen (FSE).Chaque Etat membre établit, en partenariat avec la Commission européenne, un ou plusieurs programmes opérationnels de financement du FSE pour la période septennale de programmation.La CNIL s'est prononcée, par délibération n° 2012-265 du 19 juillet 2012, sur le téléservice de l'administration électronique dénommé  Ma démarche FSE  mis en place sous la responsabilité de la délégation générale à l'emploi et à la formation professionnelle (DGEFP), pour le suivi de la gestion du FSE dans le cadre de la programmation 2007-2013.Le présent projet d'arrêté vise à autoriser les modifications du traitement envisagées pour répondre aux nouvelles exigences de la réglementation européenne pour la programmation 2014-2020, qui se caractérise par la mise en œuvre d'une politique axée sur les résultats et la volonté de mesurer la performance et les progrès accomplis à l'aide de l'intervention du FSE.A cet effet, la réglementation européenne impose un
renforcement des systèmes de suivi et d'évaluation qui passe, en particulier, par l'exigence d'un suivi continu et individuel des participants au programme et par l'obligation faite aux Etats membres d'utiliser un système dématérialisé pour traiter les informations nécessaires au suivi, à l'évaluation, à la gestion financière, aux vérifications et aux audits (règlement n° 1303/2013, art. 125, paragraphe 2, point d, qui fonctionnait jusqu'alors, en France, sur la base du volontariat.Ces nouvelles obligations réglementaires ont conduit la DGEFP à faire évoluer le système d'information  Ma démarche FSE  qui a vocation à comporter désormais des données identifiantes et de suivi relatives aux participants, bénéficiaires finaux des fonds du FSE, et à être utilisé désormais par les porteurs de projet et un certain nombre d'organismes gestionnaires (l'Etat, les  autorités de gestion déléguées  et les organismes intermédiaires).La commission estime que les traitements mis en œuvre donnent accès à un téléservice de l'administration dans les conditions visées à l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation par arrêté ministériel pris après avis motivé et publié de la commission, les traitements mis en œuvre par l'Etat ou des personnes morales de droit public  aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles
figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques .La commission relève que dans l'attente de la mise en œuvre du téléservice ainsi modifié, et dans la mesure où la réglementation européenne a pris effet le 1er janvier 2014, un questionnaire  papier  a été mis à la disposition des porteurs de projets par la DGEFP, destiné à leur permettre de collecter les données relatives aux participants. Ces questionnaires sont stockés à titre temporaire sous leur responsabilité et alimenteront le système d'information quand il sera disponible.Sur la finalité du traitementLe téléservice  Ma démarche FSE  vise à dématérialiser le dépôt des demandes de subvention FSE, l'étude de leur recevabilité et leur instruction par les organismes gestionnaires.Il en va de même du dépôt des bilans d'exécution sur les dépenses réalisées par les porteurs de projet, qui font l'objet de  contrôles de service fait  par le service gestionnaire pour une remontée fiabilisée des données à la Commission européenne.Il appartient, en effet, à chaque autorité de gestion de transmettre par voie électronique à la Commission européenne un rapport annuel de mise en œuvre, des justificatifs de dépense, ainsi que des données structurées pour chaque priorité d'investissement.Les dispositions prévues par l'article 1er du projet d'arrêté concernant les finalités précitées n'ont pas été modifiées.L'article 1er du projet d'arrêté a toutefois
été complété par les finalités suivantes :
- accélérer le traitement du versement du Fonds social européen aux bénéficiaires ; - permettre un suivi détaillé et fiable de la mise en œuvre du programme, ainsi que l'évaluation de son efficacité, de son efficience et de son impact en réalisant notamment des enquêtes auprès des participants conformément aux obligations des règlements européens susvisés.
Ces modifications visent à prendre en compte les principales évolutions de la programmation 2014-2020.L'accélération du traitement du versement du FSE aux bénéficiaires, désormais inscrite au nombre des finalités du téléservice, traduit le but visé par la dématérialisation obligatoire des procédures.Le suivi  détaillé et fiable  de la mise en œuvre du programme, ainsi que  l'évaluation de son efficacité, de son efficience et de son impact , visent à connaître l'impact réel des projets financées par le FSE sur la situation particulière des participants, ainsi que l'impact des programmes en termes de réduction de l'exclusion sociale et de lutte contre la pauvreté, notamment en ce qui concerne les populations défavorisées.Pour ce faire, des données à caractère personnel relatives à chaque participant seront collectées par les porteurs de projets à l'entrée du participant dans un projet financé par le FSE et à sa sortie.Un suivi des participants sera également effectué six mois suivant la fin de leur participation, dans le cadre d'enquêtes réalisées sous la responsabilité de la DGEFP, sur des échantillons représentatifs de participants.La commission estime que ces finalités sont déterminées, explicites et légitimes.Sur la nature des données traitéesL'article 2 du projet énumère les catégories de données à caractère personnel qui feront l'objet d'un traitement par l'intermédiaire du téléservice  Ma démarche FSE .Les données seront collectées au moyen d'indicateurs. Un ensemble
commun d'indicateurs, énumérés en annexe du règlement n° 1304/2013, a été défini pour permettre de produire des statistiques fiables et robustes qui puissent aisément être agrégées au niveau français et européen. D'autres indicateurs spécifiques aux programmes ont également été définis dans le cadre du pilotage du projet par la DGEFP.La commission a bien pris acte que les données énumérées par le projet d'arrêté constituent une liste fermée (sous la forme  oui/non ), et non des catégories de données susceptibles de donner lieu à la collecte de données plus détaillées.Les données à caractère personnel qui font l'objet d'un traitement dans le téléservice concernent les participants et les porteurs de projet.S'agissant des porteurs de projet, la commission relève que la liste des données mentionnées à l'article 2-II n'a pas été modifiée.Elle rappelle, toutefois, que seules les données strictement nécessaires à l'attestation des compétences du personnel affecté aux projets financés par la Commission européenne, ainsi que des dépenses engagées pour les rémunérer, devront être collectées. Elle rappelle également l'obligation d'en informer les intéressés dans les conditions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée.S'agissant des participants, l'article 2-I du projet prévoit le traitement des données relatives à :
- l'identification des personnes physiques (nom, prénom, date et commune de naissance, comprenant, le cas échéant, l'indication de la naissance à l'étranger renseignée par le code 99999, sexe) ;- leurs coordonnées (adresse, téléphone, adresse électronique) ;- leur vie professionnelle (statut sur le marché du travail [emploi ou formation], niveau de diplôme) ;- leur situation familiale (vie en ménage ou monoparentale, enfants à charge) ; leur handicap ;- leurs difficultés sociales (indication du bénéfice de minima sociaux ; indication de difficultés de logement) ;- l'indication d'un parent né à l'étranger ;- des données individuelles relatives aux participants (liste de participants, diplômes, CV, contrats de formation, attestations de formation, rémunérations de participants, feuilles de présence, justificatifs d'absences, éléments de rattachement du public à l'opération, justificatifs permettant d'identifier le type de sortie).
Sur la pertinence des données relatives à l'identité et aux coordonnées des personnesLa DGEFP a indiqué que les données relatives à l'identité et aux coordonnées des personnes seront strictement nécessaires :
- au suivi des participants par les porteurs de projets, auxquels il appartient de les interroger sur leur situation à l'issue des opérations dont ils ont bénéficié ;- au contrôle des opérations dont les gestionnaires intermédiaires ont la responsabilité (contrôle de l'éligibilité au bénéfice d'une action, des résultats des actions) ;- au suivi de cohorte auprès d'échantillons de personnes qu'il appartiendra à la DGEFP d'effectuer.
Ces données seront également susceptibles d'être utilisées à des fins de contrôle dans le cadre des audits menés par la Commission européenne et la commission interministérielle de coordination des contrôles (CICC).La commission prend acte que le NIR n'est pas saisi en tant que tel dans le téléservice  Ma démarche FSE  et ne peut être utilisé comme un critère de requête ou transmis à des organismes tiers, ni exploité, ni utilisé à titre d'identifiant.S'agissant de l'adresse postale, le ministère a indiqué que cette donnée est nécessaire au suivi des participants par les porteurs de projet qui doivent être en mesure de les contacter par tous moyens. Elle est également nécessaire à la preuve de l'éligibilité des personnes au bénéfice de certains dispositifs, subordonnée à leur appartenance géographique à un quartier prioritaire (au regard de la politique de la ville) ou à une région, Cette éligibilité sera vérifiée automatiquement par le système d'information à l'aide de référentiels intégrés, afin de limiter les risques d'erreur. La commission en prend acte.Sur la pertinence des autres données relatives aux caractéristiques des participantsLa commission relève qu'aux termes de l'article 3 du règlement n° 1304/2013 relatif au FSE, celui-ci  intervient en faveur des personnes, notamment les personnes défavorisées telles que les chômeurs de longue durée, les personnes handicapées,les migrants, les minorités ethniques, les communautés marginalisées et les personnes de toutes les
catégories d'âge victimes de la pauvreté et de l'exclusion sociale , notamment les Roms (considérant n° 16).Afin de pouvoir s'assurer d'une utilisation des fonds au bénéfice de ces populations jugées prioritaires, ledit règlement préconise, au nombre des indicateurs communs relatifs aux investissements du FSE, la collecte de données relatives, notamment, aux participants  migrants, participants d'origine étrangère, minorités (y compris les communautés marginalisées telles que les Roms) .La commission relève que cet indicateur sera renseigné par la mention de la commune de naissance, renseignée par le code 99999 en cas de naissance à l'étranger, et la réponse à la question fermée concernant l' indication d'un parent né à l'étranger , la première, selon le ministère, permettant de caractériser les participants migrants, la seconde, les participants d'origine étrangère.La DGEFP a indiqué avoir adopté la définition de l'ONU relative aux migrants, a précisé qu'il n'existait pas de définition statistique des personnes d'origine étrangère et a déclaré accepter le risque statistique qui s'attache aux critères retenus. Elle a également indiqué avoir choisi de ne pas collecter d'information sur les minorités, faute de définition nationale de cette notion et leur collecte ayant été jugée contraire au droit français.Interrogée sur la manière dont les autres pays de l'UE ont caractérisé ces mêmes populations s'agissant de données qui ont vocation à être agrégées au niveau européen, la