AgentPublic/cnil huggingface dataset:
auprès de la direction générale de la prévention des risques du ministère chargé de l'environnement et à améliorer les relations entre les usagers et l'administration.Enfin, elle prend acte de l'absence de transferts de données vers un pays situé hors de l'Union européenne et n'assurant pas un niveau de protection suffisant.Au regard de ce qui précède, la commission estime que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.S'agissant plus précisément de l'accès au téléservice projeté, la commission relève que seuls les  notifiants  au sens de l'article 2 du règlement du 14 juin 2006 susvisé, pour ce qui concerne les exportateurs et les installations de déchets, pourront accéder au suivi des transferts via cette application. Dans un premier temps, l'accès dans l'application GISTRID sera rendu possible par l'attribution d'un numéro de compte permettant d'accéder au portail d'authentification des applications web  CERBERE  du ministère de l'écologie, du développement durable et de l'énergie, lequel a déjà fait l'objet d'une formalité préalable à sa mise en œuvre auprès de la commission. Dans un deuxième temps, l'accès au dossier de notification s'effectuera à partir du numéro d'identification de la notification délivré par l'autorité compétente.La commission considère que ces modalités d'accès n'appellent pas d'observation particulière. Elle
prend acte que l'authentification des usagers sur le portail  CERBERE  s'effectuera à partir d'un mot de passe régulièrement renouvelé, strictement personnel, de complexité minimale (au moins huit caractères parmi majuscule, minuscule, chiffre et caractère spécial) et ne faisant aucunement référence aux nom et prénom de l'usager.Sur les données à caractère personnel collectées et traitées :L'article 2 du projet d'arrêté prévoit que les données à caractère personnel collectées dans le traitement GISTRID sont relatives à l'identification de chacun des opérateurs susceptibles de déposer et de consulter en ligne leurs demandes de transferts de déchets. Il s'agit :
- du nom ;- de l'adresse ;- des coordonnées téléphoniques ;- du numéro de fax ;- de l'adresse électronique.
Par ailleurs, la commission prend acte que chaque notifiant et chaque installation de traitement de déchets disposent d'un identifiant qui leur sont propres afin d'accéder au téléservice à partir du numéro de notification qui leur est attribué. Elle rappelle dès lors que, conformément aux dispositions de l'article 29 de la loi du 6 janvier 1978 modifiée, ces identifiants doivent figurer parmi les données à caractère personnel enregistrées dans le traitement GISTRID.De même, dans la mesure où les documents de notification et de mouvement prévus par le règlement du 14 juin 2006 et enregistrés dans le traitement projeté contiennent le numéro d'enregistrement du notifiant ainsi que l'identité de la personne à contacter, elle demande que le projet d'arrêté soit complété sur ce point.En tout état de cause, la commission considère que les données et informations traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.Sur la durée de conservation des données :L'article 3 du projet d'arrêté prévoit que les données sont conservées pendant trois ans à compter du début du transfert des déchets.La commission considère qu'une telle durée, qui s'inscrit dans le respect des dispositions de l'article 20 du règlement du 14 juin 2006 susvisé, n'appelle pas d'observation particulière.L'article 5 du projet d'arrêté précise que  toute consultation du traitement [...] fait l'objet d'un
enregistrement comprenant l'identification de l'utilisateur, la date, l'heure et la nature de l'intervention dans ledit traitement. Les informations relatives aux consultations sont conservées pendant une durée d'un an .Si la commission prend acte qu'une telle durée correspond à la durée de conservation portée à sa connaissance lors de la déclaration du traitement CERBERE, elle rappelle sa recommandation en la matière qui consiste à ne pas conserver les traces au-delà d'une durée de six mois, sauf justifications particulières.Sur les destinataires des données :L'article 4 du projet d'arrêté est relatif aux destinataires des données et énumère les personnels qui, à raison de leurs attributions et pour les besoins exclusifs des missions qui leur sont confiées, auront un accès direct aux données contenues dans le traitement projeté.La commission relève que ces traitements seront exclusivement utilisés par :
- les agents au sein des DREAL, des DEAL et de la DRIEE ;- les agents au sein du département de la politique de gestion des déchets de la direction générale de la prévention des risques du ministère de l'écologie, du développement durable et de l'énergie ;- les agents du service de l'observation et des statistiques du Commissariat général du développement durable du ministère de l'écologie, du développement durable et de l'énergie.
Si la liste de ces destinataires n'appelle pas d'observation particulière de la part de la commission, elle rappelle que le responsable du traitement projeté est tenu de prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. C'est pourquoi la commission estime que les agents précédemment énumérés devraient faire l'objet d'une désignation individuelle et d'une habilitation spécifique.Par ailleurs, ce même article énonce que les usagers du téléservice sont destinataires des données mentionnées à l'article 2 dudit projet d'arrêté et se rapportant à leur demande de transfert transfrontalier de déchets. La commission rappelle que, si ces usagers doivent naturellement accéder aux données et informations qui les concernent, dès lors qu'il s'agit de l'objet même du traitement, ces usagers ne sont pas des destinataires au sens de l'article 3-II de la loi du 6 janvier 1978 modifiée mais des personnes concernées au sens du dernier alinéa de l'article 2 de cette même loi. Elle estime dès lors que le projet d'arrêté devrait être modifié sur ce point.Enfin, elle relève que le ministère a indiqué que les données relatives aux types et aux quantités de déchets transférés pourront être utilisées dans le cadre de la préparation des rapports annuels, conformément aux dispositions de l'article 51 du règlement du 14 juin 2006 susvisé, ce qui n'appelle pas d'observation
particulière.Sur les droits des personnes :La commission relève tout d'abord que dans le cadre de la mise en œuvre du traitement projeté, l'utilisation du téléservice est facultative.A cet égard, la commission rappelle que le développement de l'administration électronique doit permettre la mise en place d'outils de simplification des démarches administratives et d'amélioration des relations entre les usagers et l'administration, sans que ces outils soient exclusifs d'autres canaux d'échanges. Elle prend dès lors acte de l'existence d'une procédure alternative au téléservice qui doit permettre l'accès à la même prestation de service.Par ailleurs, l'information des personnes concernées par le traitement est réalisée par le biais de mentions spécifiques sur le site internet à partir duquel est accessible le téléservice, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée. La commission prend en outre acte que les formulaires CERFA relatifs aux transferts transfrontaliers de déchets sont en cours de modification afin de faire figurer des mentions d'informations conformes audit article.Les droits d'accès et de rectification s'exercent directement auprès de la direction générale de la prévention des risques.Enfin, l'article 7 du projet d'arrêté prévoit que le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au traitement projeté, ce qui n'appelle pas d'observation particulière dès lors que le traitement répond à une
obligation légale.Sur les mesures de sécurité :La commission rappelle tout d'abord que, le traitement projeté étant un téléservice d'une autorité administrative, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé.Par ailleurs, elle prend acte que le traitement projeté sera hébergé au sein du ministère de l'écologie, du développement durable et de l'énergie dont les mesures de sécurité physique et logique sont de nature à assurer la confidentialité et l'intégrité des données à caractère personnel traitées.S'agissant de l'accès au téléservice, la commission relève que le téléservice GISTRID s'appuie sur le composant d'authentification et de sécurité CERBERE. Afin de respecter l'article 34 de la loi du 6 janvier 1978 modifiée, la commission estime qu'il est nécessaire de se conformer à l'état de l'art en matière de transmission chiffrée des données sur internet, concernant le protocole https.Sous réserve des observations précédemment formulées, la commission considère que les mesures de sécurité décrites et prévues par le responsable de traitement sont conformes à l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code du travail, notamment ses articles L. 6323-1 et suivants ainsi que R. 6323-12 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25 ;Vu la loi n° 2014-288 du 5 mars 2014 relative à la formation professionnelle, à l'emploi et à la démocratie sociale ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2014-1717 du 30 décembre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé  Système d'information du compte personnel de formation  relatif à la gestion des droits inscrits ou mentionnés au compte personnel de formation ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :Le 23 octobre 2014, la commission a rendu un avis sur un projet de décret portant création par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'un traitement automatisé de données à caractère personnel, dénommé  Système d'information du compte personnel de formation  (SI-CPF), relatif à la gestion des droits inscrits ou mentionnés au compte personnel de formation.La commission a été par la suite saisie par le ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet d'acte réglementaire relatif à la création, par certains des acteurs de la formation professionnelle, de traitements nécessaires à la mise en œuvre des comptes personnels de formation et à la connexion au SI-CPF.Certains acteurs habilités à intervenir de la formation professionnelle ne sont toutefois pas concernés par ces actes réglementaires mais néanmoins amenés à mettre en œuvre des traitements similaires.Dans la mesure où la connexion au SI-CPF est indispensable pour bénéficier d'une formation professionnelle et impose de renseigner le numéros d'inscription des personnes au répertoire national d'identification des personnes physiques du titulaire d'un compte accompagné de son nom, la commission a souhaité alléger les
formalités pour les acteurs de la formation professionnelle n'étant pas autorisés à traiter de tels numéros.En effet, lorsqu'un traitement de données à caractère personnel porte sur des données parmi lesquelles figurent des numéros d'inscription des personnes au répertoire national d'identification des personnes physiques, il y a lieu de faire application des dispositions du 6° du I de l'article 25 de la loi du 6 janvier 1978 modifiée prévoyant que le traitement doit être autorisé par la commission.Toutefois, en application des dispositions du II de l'article 25 de la loi du 6 janvier 1978 modifiée, la commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.Les traitements automatisés de données à caractère personnel mis en œuvre par les organismes de droit privé habilités à intervenir dans le domaine de la formation professionnelle pour mettre en œuvre des comptes personnels de formation et se connecter au SI-CPF sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.Les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.Tout traitement de données à caractère personnel
qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une demande d'autorisation spécifique.
Article 1
Champ d'application et finalités du traitement.
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente autorisation unique les traitements mis en œuvre par les organismes de droit privé habilités à intervenir dans le domaine de la formation professionnelle aux fins :
- de mise en œuvre des comptes personnels de formation tel que prévu aux articles L. 6323-1 et suivants du code du travail ;- de se connecter au système d'information du compte personnel de formation mentionné aux articles R. 6323-12 et suivants du code du travail et créé par le décret n° 2014-1717 du 30 décembre 2014 du ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social pris après avis motivé et publié de la commission.
 Article 2
Données collectées et traitées.A titre liminaire, la commission rappelle que des données à caractère personnel ne peuvent être collectées que si elles sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.Le responsable de traitement doit ainsi être en mesure de justifier du caractère nécessaire des données à caractère personnel effectivement collectées.Sous cette réserve, les organismes de droit de droit privé habilités à intervenir dans le domaine de la formation professionnelle peuvent, pour atteindre les finalités visées à l'article 1er de la présente décision unique, collecter et traiter des données relatives :1. Aux informations personnelles du titulaire du compte :
- numéro d'inscription au répertoire national d'identification des personnes physiques (NIR ou numéro de sécurité sociale) ;- date de création dans le référentiel CPF ;- sexe ;- civilité ;- nom patronymique, usuel, marital, prénoms ;- date et lieu de naissance ;- indication de notion de personnes ayant un handicap ;- adresses personnelles en France et à l'étranger ;- adresse de son lieu de travail ;- téléphone(s) et adresse électronique ;- date et caractère certifié ou présumé du décès.
2. Aux données correspondantes aux comptes d'heures :
- heures acquises au titre du droit individuel à la formation ;- heures inscrites sur le compte personnel de formation ;- informations sur la nature des droits : période d'activité et d'inactivité (avec le motif de l'inactivité), date prises en compte ;- numéro SIRET de l'employeur ;- code profession ;- temps de travail ;- taux de temps de travail ;- rémunération du titulaire.
3. Aux données des dossiers de formation :
- formations éligibles ;- historique des opérations effectuées sur le CPF ;- champs de saisie de commentaires par le titulaire ;- titre de la formation ;- intitulé complet de la formation ;- date d'accord du titulaire pour la mobilisation de ses heures CPF ;- numéro SIRET de l'organisme de formation ;- raison sociale de l'organisme de formation ;- durée totale de la formation en heures prévue/durée totale effectuée ;- coût total de la formation en euros prévue/coût total final ;- date de la formation ;- objectif de la formation ;- niveau/titre le plus élevé obtenu par le stagiaire ;- statut du stagiaire ;- catégorie socioprofessionnelle du stagiaire ;- si stagiaire salarié : numéro SIRET, raison sociale et adresse de l'employeur, URSSAF, code APE/NAF, effectif employeur, OPCA de l'entreprise, code IDCC/CCN, imputation ;- rémunération possible sur les 0,2 % ;- formation  présentielle  ou à distance ;- certification partielle ;- formation interne/externe ;- contenu de la formation ;- rythme de la formation ;- contact formation ;- parcours de formation ;- niveau d'entrée obligatoire ;- code niveau entrée ;- conditions spécifiques ;- prise en charge des frais possible ;- modalité entrée-sortie ;- lieu de formation ;- adresse inscription ;- coordonnées organisme ;- contact organisme ;- renseignement spécifique ;- code public visé ;- financement :- solde des droits acquis au titre du compte personnel de formation disponible en heures ;- solde du droit individuel à la formation en
heures ;- droits acquis en heures au titre du compte personnel de formation mobilisés pour la formation ;- heures du droit individuel à la formation mobilisées pour la formation ;- coût de la formation en euros, pour les frais pédagogiques, annexes, et montant de la rémunération prise en charge ;- pour les financements complémentaires, par financeur, et par type de financeur, nom de l'organisme financeur, nombre d'heures financées, montant financé en euros, commentaire.
4. Aux données des passeports d'orientation, de formation et de compétences :
- études et formations suivies ;- diplômes et certifications obtenues ;- qualifications détenues et exercées ;- expérience professionnelle ;- aptitudes et compétences ;- permis de conduire ;- langues étrangères ;- assermentations.
5. Aux données des annuaires techniques des gestionnaires des organismes :
- nom et prénom ;- organisme employeur ;- fonction ;- unité d'appartenance ;- téléphone et adresse électronique professionnels.
 Article 3
Durée de conservation des données.La commission rappelle, conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée, que des données à caractère personnel ne peuvent être conservées que le temps strictement nécessaire à l'accomplissement de la finalité pour laquelle elles ont été collectées.Les données visées à l'article 2 de la présente décision unique peuvent être conservées au maximum un mois à l'issue des opérations requises pour la gestion des comptes personnels de formation.
 Article 4
Destinataires des données.La commission rappelle que le responsable d'un traitement de données à caractère personnel est tenu, en application de l'article 34 de la loi du 6 janvier 1978 modifiée, de prendre toutes les garanties utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.A ce titre, le responsable d'un traitement de données à caractère personnel doit, avant de transmettre des données à un organisme, opérer un tri parmi ces dernières pour veiller à ce que le destinataire accède aux seules données adéquates, pertinentes et non excessives au regard de la justification de la communication.En particulier, s'il est saisi d'une demande de communication de données à caractère personnel par un organisme se prévalant d'une disposition légale à l'appui de sa demande, le responsable du traitement doit s'assurer du caractère obligatoire de la disposition invoquée et veiller à ne transmettre que les données strictement nécessaires.Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, seuls les employés spécifiquement habilités du responsable de traitement pourront accéder aux données visées à l'article 2 de la présente autorisation unique.Ces données ne peuvent être communiquées qu'aux agents et employés spécifiquement habilités des organismes autorisés à se connecter au système d'information du compte
personnel de formation.
Article 5
Information et droits des personnes.Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, à l'information des personnes par affichage, envoi ou remise d'un document, ou tout autre moyen équivalent, en indiquant l'identité du responsable de traitement, la finalité poursuivie par le traitement, les destinataires des données et les modalités d'exercice des droits des personnes (droit d'accès, de rectification et d'opposition pour motif légitime).Les droits d'accès, de rectification et d'opposition définis au chapitre V de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du ou des services que le responsable de traitement doit impérativement désigner.
 Article 6
Mesures de sécurité.La commission rappelle qu'en application de l'article 34 de la loi du 6 janvier 1978 modifiée le responsable d'un traitement de données à caractère personnel doit prendre toutes les précautions utiles pour préserver la sécurité des données à caractère personnel collectée et traitée au regard des risques présentés par son traitement.Il doit ainsi au moment de leur collecte, durant leur transmission et leur conservation, empêcher que les données soient déformées, endommagées ou que des tiers non autorisés y aient accès.Le responsable de traitement doit notamment s'assurer :
- que les utilisateurs s'authentifient avec un identifiant et un mot de passe respectant les recommandations de la CNIL, ou par tout autre moyen d'authentification apportant au moins le même niveau de sécurité ;- qu'un mécanisme de gestion des habilitations permet de garantir que seules les personnes habilitées peuvent accéder aux données nécessaires à la réalisation de leurs missions ;- que les mesures techniques adéquates garantissent la sécurité des données stockées ou échangées ;- de la mise en place d'un mécanisme de journalisation des accès à l'application et des opérations.
La commission rappelle enfin que l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 Article 7
Publication.La présente délibération sera publiée au Journal officiel de la République française.
 
La présidente,
I. Falque-Pierrotin