AgentPublic/cnil huggingface dataset:
En outre, cette exclusion se comprend dans la mesure où la préinscription en ligne est obligatoire, conformément à l'article L. 612-3 du code de l'éducation qui prévoit que les candidats doivent solliciter une préinscription lui permettant de bénéficier du dispositif d'information et d'orientation, ce que ne remet au demeurant pas en cause le projet de loi précité.
Les droits des articles 39 et suivants s'exercent auprès du ministère. Ces dispositions n'appellent pas d'observation particulière de la commission dans la mesure où le présent traitement ne recourt pas à un algorithme de classement. Elle rappelle que, dans le cadre de la saisine ultérieure qui devra intervenir sur le dispositif d'affectation des candidats, elle sera particulièrement vigilante sur la manière dont le ministère aura prévu de fournir aux personnes concernées des éléments permettant de comprendre la logique qui sous-tend l'algorithme, conformément à l'article 39-I (5°) de la loi Informatique et Libertés .
Sur les mesures de sécurité :
Le traitement constituant un téléservice de l'administration électronique au sens de l'ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010. La commission rappelle que le ministère doit attester formellement de la sécurité de celui-ci au travers d'une homologation RGS et publier l'attestation d'homologation sur le site du téléservice.
Le ministère avait indiqué que le contrôle d'accès à Parcoursup se ferait par un mot de passe composé de huit caractères minimum dont au moins deux alphanumériques et deux non alphanumériques dont le renouvellement était annuel. Ces modalités n'étaient pas toutefois conformes aux recommandations de la commission en la matière (délibération n° 2017-012 du 19 janvier 2017) qui précisent notamment qu'un mot de passe seul devrait être composé de douze caractères minimum appartenant à l'ensemble des quatre types possibles. Le ministère a, à la demande de la commission, mis à jour sa politique de mot de passe afin de maintenir sa conformité aux recommandations de la commission.
Les accès au téléservice Parcoursup se font via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la commission recommande d'utiliser la version de TLS la plus à jour possible.
Des sauvegardes régulières sont réalisées. La commission rappelle que celles-ci doivent être testées régulièrement afin de vérifier leur intégrité.
Une journalisation des opérations de consultation, création et modification des données est mise en place. La commission rappelle l'importance de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et de générer des alertes le cas échéant.
Sous réserve de la prise en compte des remarques précédentes, la commission estime que les mesures de sécurité décrites par le ministère sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi Informatique et Libertés et rappelle que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par la délégation générale à l'emploi et à la formation professionnelle d'une demande d'avis modificative concernant le Compte personnel d'activité et le Compte personnel de formation des agents des chambres d'agriculture, des chambres de commerce et des chambres de métiers et de l'artisanat et dans la fonction publique et des salariés licenciés suite au refus d'une modification du contrat de travail résultant de la négociation d'un accord d'entreprise ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment les articles L. 2254-2, L. 3243-2 et L. 5151-6 et les articles R. 6323-15 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-I (1°) ;
Vu la loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels, notamment ses articles 39 et 54 ;
Vu l'ordonnance n° 2017-43 du 19 janvier 2017 mettant en œuvre le compte personnel d'activité pour différentes catégories d'agents des chambres d'agriculture, des chambres de commerce et des chambres de métiers et de l'artisanat ;
Vu l'ordonnance n° 2017-53 du 19 janvier 2017 portant diverses dispositions relatives au compte personnel d'activité, à la formation et à la santé et la sécurité au travail dans la fonction publique ;
Vu l'ordonnance n° 2017-1385 du 22 septembre 2017 relative au renforcement de la négociation collective ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2016-344 du 17 novembre 2016 portant avis sur un projet de décret relatif à la mise en œuvre, par la Délégation générale à l'emploi et à la formation professionnelle, d'un traitement de données à caractère personnel dénommé Système d'information du Compte personnel d'activité (SI-CPA), et sur un projet de décret relatif à la dématérialisation des bulletins de paie et leur accessibilité via le CPA ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement,
Emet l'avis suivant :
La loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels, a créé l'article L. 5151-1 dans le code du travail qui institue le Compte personnel d'activité (CPA), ayant notamment pour objectif, par l'utilisation des droits qui y sont inscrits, de renforcer l'autonomie et la liberté d'action de son titulaire et de sécuriser son parcours professionnel en supprimant les obstacles à la mobilité . Ce compte comporte le compte personnel de formation (CPF), le compte professionnel de prévention (C2P, anciennement compte personnel de prévention de la pénibilité ) et le compte engagement citoyen (CEC).
La commission, qui s'était prononcée sur les modalités de mise en oeuvre du CPA (délibération n° 2016-344), est saisie d'une demande d'avis sur un projet de décret modificatif, pris pour l'application des dispositions de l'ordonnance n° 2017-43 du 19 janvier 2017 mettant en oeuvre le compte personnel d'activité pour différentes catégories d'agents des chambres d'agriculture, des chambres de commerce et des chambres de métiers et de l'artisanat, de l'ordonnance n° 2017-53 du 19 janvier 2017 portant diverses dispositions relatives au compte personnel d'activité, à la formation et à la santé et la sécurité au travail dans la fonction publique, ainsi que de l'ordonnance n° 2017-1385 du 22 septembre 2017 relative au renforcement de la négociation collective.
Des modifications sont apportées aux dispositions réglementaires relatives au CPA ainsi qu'au CPF, et portent sur :
- les destinataires des données collectées au titre de la mise en oeuvre du CPA ;
- les données collectées dans le cadre du CPF ;
- les personnes pouvant accéder au CPF ;
- les sources d'alimentation du CPF.
La modification relative aux données collectées dans le cadre du CPF n'appelant pas d'observation de la Commission, elle n'est pas abordée dans la présente délibération.
Sur les personnes destinataires des données du CPA :
L'article 1er du projet de décret ajoute à l'article R. 5151-6 du code du travail, les agents de la direction générale de l'administration et de la fonction publique (DGAFP), les agents de la direction générale des collectivités locales, les agents de la direction générale de l'offre de soins ainsi que les agents de la direction de la recherche, des études, de l'évaluation et des statistiques (DREES).
La Commission prend acte du fait que ces organismes sont destinataires des données dans le but de réaliser un suivi statistique du déploiement du CPA, et selon des modalités équivalentes à celles prévues pour les organismes visés à l'article R. 5151-6 dans sa version actuelle.
La Commission recommande que le projet de décret indique, conformément aux précisions apportées par la DGEFP, que la DREES a accès aux données collectées dans le cadre du CPA à des fins statistiques portant sur le personnel de la fonction publique hospitalière.
Sur les personnes accédant directement aux données contenues dans le CPF :
Parmi les agents listés par l'article 2 (2°) du projet de décret figurent les agents des établissements du réseau des chambres d'agriculture et des organismes inter-établissements de ce réseau. Ceux-ci accèdent aux données du CPF pour accompagner les agents dans le dépôt d'une demande de mobilisation de compte (CPA et CPF), ainsi que pour réaliser des statistiques sur la mobilisation de ces comptes.
La Commission recommande que, par souci de transparence et de cohérence, ces compléments d'information figurent dans l'acte réglementaire qui, par ailleurs, énonce les besoins d'accéder aux données, des autres organismes listés.
Sur les sources d'alimentation du CPF :
L'article 2 (3°) du projet de décret ajoute deux sources d'alimentation du CPF permettant de collecter les données utiles au calcul du nombre d'heures de formation acquises par les agents concernés depuis 2007, date d'entrée en vigueur du Droit individuel à la formation ou DIF.
D'une part, le CPF peut être alimenté par les données collectées par la Caisse des dépôts et consignations (CDC) pour la gestion du régime de retraite additionnel de la fonction publique (RAFP) et du Fonds spécial des pensions des ouvriers des établissements industriels de l'Etat (FSPOIE).
D'autre part, le CPF peut être alimenté par les données collectées par les employeurs dans la mesure où, s'agissant des agents non titulaires de l'Etat et des collectivités publiques, les données de la caisse de retraite complémentaire (IRCANTEC) ne seraient pas exploitables du fait que ses fichiers sont annuels. En effet, les agents contractuels étant susceptibles de connaître des ruptures de contrats en cours d'année, selon le responsable de traitement, il serait quasiment impossible de déterminer, à partir des fichiers annuels de l'IRCANTEC, la durée d'ancienneté des agents contractuels pour pré-alimenter leur CPF.
Il serait donc envisagé de procéder à un échange de fichiers de données ou à une alimentation manuelle de la part des employeurs. A terme, le CPF devrait être alimenté uniquement par la DADS puis, à compter de 2020, par la Déclaration sociale nominative (DSN).
La Commission rappelle que quel que soit le moyen de transmission utilisé, seules les informations pertinentes au regard de la finalité poursuivie devront être transmises conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée. Cette transmission d'informations devra s'accompagner de mesures adéquates permettant de garantir la confidentialité et la sécurité des données échangées.
La Commission relève enfin, à l'article 3 du projet de décret, la référence à l'article L. 2254-2 du code du travail comme source d'alimentation du CPF qui prévoit l'abondement en heures de formation, par l'employeur, du CPF d'un salarié licencié suite au refus d'une modification de son contrat de travail résultant de la négociation d'un accord d'entreprise. Cet article précise également que les modalités d'abondement du compte devront être définies par décret.
La Commission souligne que l'article 3 du présent projet de décret ne vise qu'à permettre le transfert de données vers le CPF. Elle note que le décret fixant les modalités d'abondement du CPF est actuellement en cours d'élaboration. Celui-ci devrait être soumis à l'avis de la Commission dans la mesure où il serait relatif à un traitement de données à caractère personnel.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par la direction de la sécurité sociale d'une demande d'avis concernant l'abondement du compte personnel de formation des victimes d'accident du travail ou de maladie professionnelle ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I-1° ;
Vu l'ordonnance n° 2017-1389 du 22 septembre 2017 relative à la prévention et à la prise en compte des effets de l'exposition à certains facteurs de risques professionnels et au compte professionnel de prévention ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France Mazars, commissaire, en son rapport, et M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
L'ordonnance n° 2017-1389 du 22 septembre 2017 relative à la prévention et à la prise en compte des effets de l'exposition à certains facteurs de risques professionnels et au compte professionnel de prévention prévoit que les victimes d'un accident ou d'une maladie d'origine professionnelle, dont le taux d'incapacité permanente atteint un certain seuil, bénéficient d'un abondement de leur compte personnel de formation (CPF) à hauteur de cinq cents heures. Ces heures sont financées par la branche accidents du travail et maladies professionnelles de la sécurité sociale.
Afin de mettre en application ces dispositions, un décret en Conseil d'Etat, sur lequel l'avis de la commission a été sollicité, fixe les modalités de l'abondement du compte personnel de formation des victimes d'accident du travail ou de maladie professionnelle.
Le présent projet de décret modifie les modalités de détermination des taux de cotisation des employeurs au titre des accidents du travail et des maladies professionnelles, s'agissant du régime général et du régime des salariés agricoles. Cette modification permet de financer l'abondement du CPF des victimes d'accident du travail et de maladie professionnelle.
Le texte fixe également à 10 % le taux d'incapacité permanente ouvrant droit à l'abondement du CPF au titre des accidents du travail et des maladies professionnelles.
Ce projet de décret n'appelle aucune observation de la part de la commission.
Pour la présidente :
Le vice-président délégué,
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d'une demande d'avis sur un projet de décret modifiant le décret n° 2016-1102 du 11 août 2016 autorisant la création d'un traitement de données à caractère personnel dénommé compte personnel de prévention de la pénibilité ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code rural et de la pêche maritime ;
Vu le code de la sécurité sociale ;
Vu le code du travail, notamment ses articles L. 4163-4, L. 4163-7 et L. 4163-14 ;
Vu la loi n° 51-711 du 7 juin 1950 sur l'obligation, la coordination et le secret en matière de statistiques, notamment son article 7 bis ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu l'ordonnance n° 2017-1389 du 22 septembre 2017 relative à la prévention et à la prise en compte des effets de l'exposition à certains facteurs de risques professionnels et au compte professionnel de prévention ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1102 du 11 août 2016 autorisant la création d'un traitement de données à caractère personnel dénommé compte personnel de prévention de la pénibilité ;
Après avoir entendu Mme Marie-France MAZARS commissaire, en son rapport, et M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie pour avis par le ministère des solidarités et de la santé d'un projet de décret modifiant le décret n° 2016-1102 du 11 août 2016 autorisant la création d'un traitement de données à caractère personnel dénommé compte personnel de prévention de la pénibilité sur lequel la commission a rendu un avis par la délibération n° 2016-061 du 10 mars 2016.
Ce traitement a pour finalités :
- d'assurer le stockage des données relatives aux conditions de travail des personnes exposées aux facteurs de risques professionnels définis à l'article L. 4163-1 du code du travail ;
- de contrôler le nombre de points acquis et d'assurer le suivi des recours ;
- de permettre au bénéficiaire du compte d'utiliser les points acquis conformément à l'article L. 4163-7, et aux futurs articles R. 4163-9 à R. 4163-11 du code du travail ;
- d'assurer la gestion et le suivi des comptes professionnels de prévention ;
- de produire des statistiques anonymes utiles à la conception et à la mise en œuvre des politiques publiques en matière de retraite et de prévention de la pénibilité.
L'ordonnance n° 2017-1389 du 22 septembre 2017 susvisée a modifié certaines caractéristiques de ce compte, notamment pour ce qui concerne l'identité du responsable de traitement, les données collectées, les destinataires des données et l'organisme chargé de la gestion des demandes de droit d'accès et de rectification des données.
En outre, la commission observe que ce compte s'intitule désormais compte professionnel de prévention .
Sur le responsable de traitement :
Le projet de décret modifie l'article 1er du décret n° 2016-1102 du 11 août 2016 en ce qu'il prévoit que la Caisse nationale de l'assurance maladie des travailleurs salariés (CNAMTS) est le responsable de traitement.
Il prévoit également que la gestion du compte professionnel de prévention peut être déléguée à la Caisse nationale d'assurance vieillesse des travailleurs salariés (CNAVTS) conformément aux dispositions de l'article L. 4163-14 du code du travail.
Cette modification n'appelle pas d'observations de la commission.
Sur les données collectées :
Concernant les données traitées, la commission observe que parmi les données relatives à l'employeur ne figurent plus les taux de cotisations de base de pénibilité.
Interrogé sur les raisons de ce retrait, le ministère a précisé que cette cotisation sera supprimée au 1er janvier 2018.
La commission relève que dans sa délibération n° 2016-061 en date du 10 mars 2016, elle avait pris acte de l'engagement du ministère d'ajouter à l'article 2 du projet de décret, les données relatives à la traçabilité des actions effectuées par les agents à la demande des salariés souhaitant utiliser leurs points.
Elle constate que ces données ne figurent pas dans la liste des données collectées dans le cadre du traitement et recommande à nouveau qu'elles soient ajoutées à l'article 2 du décret n° 2016-1102 du 11 août 2016.
Sur les destinataires des données :
Le projet de décret modifie les dispositions de l'article 4 du décret n° 2016-1102 du 11 août 2016 susvisé. Il prévoit ainsi que les agents de la CNAMTS, des organismes du régime général chargés de la gestion du risque accidents du travail et maladies professionnelles et des organismes de la Mutualité sociale agricole individuellement désignés et dûment habilités par le directeur de leur organismes, sont destinataire des données contenues dans le traitement, en tant que de besoin et dans les limites de leurs attributions respectives.
Les agents de la CNAVTS et des organismes du régime général chargés de l'assurance vieillesse sont destinataires des données contenues dans le traitement en tant que de besoin, en fonction de la délégation de gestion prévue à l'article L. 4163-14 du code du travail.
La commission observe que ces modifications découlent du transfert de gestion du compte professionnel de prévention prévu à l'article L. 4163-14 du code du travail ce qui n'appelle pas d'observations.
Les autres destinataires des données contenues dans le traitement restent inchangés.
Sur les droits des personnes :
Au regard du transfert de gestion du compte professionnel de prévention, le projet de décret prévoit que les droits d'accès aux données et de rectification de celles-ci s'exercent à présent auprès de la CNAMTS ou, en cas de délégation de gestion, auprès de la CNAVTS.
La commission rappelle que les personnes concernées devront être clairement informées de l'identité des personnes auprès desquelles peuvent être exercés les droits prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité :
Concernant les aspects techniques du traitement, la commission relève que ceux-ci ne sont pas modifiés par le projet de décret qui lui est soumis pour avis.
Le ministère a indiqué que les modalités d'authentification des personnes sont conformes à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. La commission en prend acte.
Elle relève que l'exploitation statistique des données traitées a pour le moment été strictement limitée à la production de statistiques agrégées ne présentant aucun risque de ré-identification des personnes.
Elle rappelle toutefois que les futures utilisations statistiques des données devront faire l'objet d'une évaluation des risques de ré-identification des personnes afin de mettre en place les mesures appropriées, le cas échéant.
La commission prend acte de ce que le traitement mis en œuvre a fait l'objet d'une homologation au titre du référentiel général de sécurité le 29 mai 2017.
Le ministère a toutefois indiqué qu'une analyse de risques ne portant pas sur les risques pesant sur les personnes concernées par le traitement a été effectuée. Si la réalisation d'études d'impact sur la vie privée ne sera effectivement une obligation qu'à compter de l'entrée en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD), l'étude des risques, obligatoire au titre de la conformité au référentiel général de sécurité, se doit d'inclure un volet détaillant les impacts sur la vie privée des personnes concernées en cas d'atteinte à la disponibilité, à l'intégrité et à la confidentialité des données. En effet, la réglementation en vigueur impose déjà de mettre en oeuvre des mesures de sécurité proportionnées aux risques pour les personnes concernées par un traitement.
Enfin, la commission rappelle la nécessité de réévaluer régulièrement les risques afin de garantir que les mesures de sécurité restent proportionnées à ces risques.
Elle souligne que les autres caractéristiques du traitement restent inchangées et n'appellent donc pas d'observations au regard de la loi du 6 janvier 1978 modifiée.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars