AgentPublic/cnil huggingface dataset:
le travail illégal et les fraudes au détachement de  travailleurs dans le secteur d'activité du BTP. Aux termes de l'article 5 du projet de décret, le traitement a pour  finalité de garantir la fiabilité de la délivrance des cartes  d'identification professionnelle des salariés du BTP pour les salariés  détachés sur le territoire national par des employeurs établis hors de  France. Plus concrètement, ce traitement consiste en une transmission  automatique à l'Union des caisses de France-Congés intempéries BTP  (UCF-CI BTP) des données contenues dans les déclarations de détachement  des salariés employés par des entreprises établies hors de France pour  effectuer sur le territoire national des travaux mentionnés à l' article R. 8291-1 du code du travail. Il en résulte que les données contenues dans ie fichier SIPSI sont directement intégrées dans le fichier SI-CIP. C'est dans ce contexte que les déclarations de détachement  mentionnées aux articles R. 1263-3 et suivants, effectuées via le  téléservice SIPSI par les employeurs de salariés réalisant des travaux  de BTP, valent déclarations en vue de demandes de cartes  d'identification professionnelle des salariés du BTP, délivrées par  I'UCF-CI BTP. L'interopérabilité a en ce sens vocation à fiabiliser et à  simplifier le dispositif d'édition des cartes d'identification  professionnelle des salariés du BTP. En effet, le flux d'information entre les fichiers permettra de  s'assurer que les entreprises concernées ont accompli
leurs obligations  déclaratives au titre du détachement de leurs salariés, et se  substituera à l'obligation de joindre une copie de déclaration de  détachement, préalable nécessaire en vue de l'obtention d'une carte  d'identification professionnelle. Les données transmises permettent en  outre de pré­ initialiser les comptes des entreprises sur le SI-CIP  ainsi que les demandes de titres pour les salariés concernés. Par ailleurs, conformément aux  dispositions de l'article 105 de la loi n° 2016-1088 du 8 août 2016  relative au travail, à la modernisation du dialogue social et à la  sécurisation des parcours professionnels, l'article 5 du projet de  décret prévoit que les maîtres d'ouvrages et les donneurs d'ordre  pourront réaliser, par voie dématérialisée, les déclarations de  détachement subsidiaires, en cas de manquement à cette formalité par  leurs prestataires de services étrangers. La commission considère que les finalités sont déterminées, explicites et légitimes. Sur les données traitées : L'article 5 du projet de décret liste les données suivantes,  transmises automatiquement à I'UCF-CI BTP à l'occasion des déclarations  de détachement des salariés via le téléservice SIPSI :
- s'agissant des salariés détachés : nom, prénoms, date et lieu de naissance, nationalité ; - s'agissant des entreprises qui détachent des salariés en France et  de leurs dirigeants : nom ou raison sociale de l'entreprise, nom,  prénoms, date et lieu de naissance du ou des dirigeant(s), adresses  postales et électroniques, coordonnées téléphoniques de l'entreprise ou  de l'établissement, forme juridique de l'entreprise, références de son  immatriculation à un registre professionnel ou toutes autres références  équivalentes ; - s'agissant des représentants des entreprises en France, pour la  durée des prestations : noms, prénoms, date de naissance, s'il s'agit de  personnes physiques ; raison sociale, s'il s'agit de personnes morales ;  adresses électroniques et postales, coordonnées téléphoniques ; - s'agissant de la nature et des conditions de réaiisation des  prestations en France : adresse du ou des lieu(x) successifs  d'accomplissement des prestations, dates du début de la prestation et de  sa fin prévisible.
L'article 3 du projet de décret ajoute qu'à réception des données  listées ci-dessus, I'UCF-CI BTP demande aux entreprises à l'origine des  déclarations, ou à leurs représentants en France, de lui adresser via  son site internet dédié, les données suivantes, pour chaque salarié  détaché : photographie d'identité numérisée, sexe, nature du contrat de  travail, numéro de l'autorisation de travail ou de la carte de séjour  valant autorisation de travail, le cas échéant. La commission relève que les données ainsi transmises à I'UCF-CI BTP  n'excèdent pas celles nécessaires à la gestion et au suivi des titres,  listées dans le  décret n° 2016-175 du 22 février 2016 relatif à la carte d'identification professionnelle des salariés du BTP. Elle estime que les données traitées sont pertinentes et non  excessives au regard des finalités pour lesquelles elles sont  collectées. Sur les destinataires : La commission constate que le projet de décret ne mentionne pas les  catégories de personnes appelées à accéder aux données en raison de  leurs missions. Interrogé sur ce point, le ministère indique que la mise en place de  l'interopérabilité ne requiert pas que d'autres destinataires que ceux  indiqués à l' article 3 du décret n° 2016-1044 du 29 juillet 2016  et à l'article 3 du projet d'arrêté relatif aux conditions de  fonctionnement du traitement automatisé de données à caractère personnel  de la carte d'identification professionnelle des salariés du BTP,  n'aient accès aux données. La
commission prend bonne note de cette précision et estime que le  projet de décret devrait être complété sur ce point afin de renforcer  l'information des personnes concernées. Elle rappelle que l'accès aux différents systèmes d'information par  l'ensemble de ces destinataires doit s'appuyer sur une politique de  gestion rigoureuse des habilitations et considère, sous cette réserve,  que les destinataires présentent un intérêt légitime à accéder en tout  ou partie aux données. Sur les durées de conservation : Le projet de décret ne précise pas les durées de conservation des données. Interrogé sur ce point, le ministère renvoie aux durées de conservation mentionnées à l' article 5 du décret n° 2016-1044 du 29 juillet 2016,  et à l'article 4 du projet d'arrêté relatif aux conditions de  fonctionnement du traitement automatisé de données à caractère personnel  de la carte d'identification professionnelle des salariés du BTP, à  savoir respectivement cinq ans à compter de la fin de la prestation en  France, et cinq ans à compter de la dernière invalidation enregistrée  pour le compte du titulaire du titre. La commission estime que l'ajout de cette précision dans le décret  serait également de nature à renforcer l'information des personnes  concernées. Elle estime que les données traitées ne sont pas conservées au-delà  du temps nécessaire à l'accomplissement des finalités pour lesquelles  elles ont été collectées. Sur l'information et les droits des personnes : L'article 3 du
projet de décret (projet d' article R. 8293-2 du code du travail)  prévoit qu'avant d'effectuer la déclaration auprès de I'UCF-CI BTP, les  employeurs informent les salariés de la transmission des données  personnelles les concernant. La commission rappelle que conformément à l'article 32 de la loi   Informatique et Libertés , l'information doit porter sur l'identité du  responsable du traitement, les objectifs poursuivis par le traitement,  le caractère obligatoire ou facultatif des réponses, les conséquences  éventuelles d'un défaut de réponse, les destinataires des données, les  droits des personnes, et le cas échéant, les transferts de données hors  de l'Union européenne. Elle souligne qu'en tout état de cause, cette information doit être  donnée, aux salariés, d'une part, et aux employeurs, d'autre part,  préalablement à la collecte des données, selon des modalités adaptées au  nombre de personnes concernées. Interrogé sur les modalités d'exercice des droits d'accès et de rectification, le ministère renvoie aux dispositions à l' article 4 du décret n° 2016-1044 du 29 juillet 2016  et au projet d'arrêté relatif aux conditions de fonctionnement du  traitement automatisé de données à caractère personnel de la carte  d'identification professionnelle des salariés du BTP. Il en résulte que, s'agissant du traitement SIPSI, les droits  d'accès et de rectification des données s'exercent auprès du responsable  de l'unité départementale de la Direction régionale des entreprises,
de  la concurrence, de la consommation, du travail et de l'emploi  compétente pour le lieu de la prestation. Elle relève, concernant le  traitement SI-CTP, que ces droits s'exercent directement auprès de  I'UCF-CI BTP. L'intégration de ces précisions dans le projet de décret contribuerait à renforcer l'information des personnes concernées. Enfin, le ministère indique que les personnes concernées ne peuvent  pas s'opposer à la transmission de leurs informations au moyen de  l'interopérabilité entre les fichiers SIPSI et SI-CTP. La commission en  prend acte et relève néanmoins que le présent projet de décret n'en fait  pas mention. Sur les mesures de sécurité : Des profils d'habilitation sont prévus afin de gérer les accès aux  données en tant que de besoin. La commission recommande que la gestion  et l'usage des habilitations fassent l'objet de procédures formalisées,  validées par le responsable de traitement et portées à la connaissance  des utilisateurs. Elle recommande également que les permissions d'accès  soient supprimées pour tout utilisateur n'étant plus habilité et qu'une  revue globale des habilitations soit opérée régulièrement. Le contrôle des accès repose sur des mots de passe pour lesquelles  une structure et une durée de validité ont été fixées. La commission  rappelle qu'elle recommande le recours à des mots de passe d'une  longueur minimale de huit caractères, composés de minuscules,  majuscules, chiffres et caractères spéciaux. Le mot de passe doit être
modifié par l'utilisateur dès sa première connexion puis régulièrement. La commission recommande en outre, pour les administrateurs du  traitement que la longueur du mot de passe soit de à dix caractères  minimum. La commission rappelle également que les mots de passe ne doivent  pas être stockés en clair en base de données et recommande de stocker  les empreintes obtenues par une fonction de hachage à clé secrète  adaptée. Les transferts de données sont sécurisés par la mise en œuvre à la  fois d'un VPN IPsec et du protocole SSUTLS pour le chiffrement des flux  et l'authentification du serveur. Concernant ce dernier, la commission  recommande d'utiliser la version de TLS la plus à jour possible. Des sauvegardes régulières, au minimum mensuelles, sont réalisées.  La commission recommande que le transfert et le stockage des sauvegardes  soit sécurisé, notamment par chiffrement des sauvegardes, et que des  tests de continuité d'activité soient effectués régulièrement. La mise au point des logiciels s'effectue sur des données anonymisées. Les interventions de maintenance font l'objet d'une traçabilité et  d'une surveillance. Les supports de stockages destinés à la destruction  font l'objet d'une procédure de protection particulière. La commission recommande de prévoir la mise en place d'une  architecture de journalisation permettant de conserver, en assurant leur  intégrité, sur une durée de six mois (hors contraintes légales  spécifiques), une trace des événements de sécurité
et du moment où ils  ont eu lieu, en choisissant les événements à journaliser en fonction du  contexte, des supports (postes de travail, pare-feu, équipements réseau,  serveurs, etc.), des risques et du cadre légal. Enfin, l'accès aux iocaux et équipement hébergeant ie traitement est  sécurisé par un contrôle d'accès physique et la présence d'un gardien. Sous réserve de ces observations, la commission estime que les  mesures de sécurité décrites par le responsable de traitement dans le  dossier d'instruction sont conformes à l'exigence de sécurité prévue par  l'article 34 de la loi  Informatique et Libertés . Elle rappelle toutefois que cette obligation nécessite la mise à  jour des mesures de sécurité au regard de la réévaluation régulière des  risques et de l'évolution des technologies.
Pour la présidente et par délégation : 
Le vice-président délégué, 
M.-F. Mazars
La Commission nationale de l'informatique et des libertés, Saisie par la Délégation générale à l'emploi et à la formation  professionnelle d'une demande d'avis concernant la mise en œuvre du  Compte personnel d'activité et la dématérialisation des bulletins de  paie ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu la directive (UE) 2015/1535 du Parlement européen et du Conseil  du 9 septembre 2015 prévoyant une procédure d'information dans le  domaine des réglementations techniques et des règles relatives aux  services de la société d'information ; Vu le  code du travail, notamment les articles L. 3243-2 et L. 5151-6 et les articles R. 6323-15 et suivants ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27 (I, 1°) ; Vu la  loi n° 2016-1088 du 8 août 2016  relative au travail, à la modernisation du dialogue social et à la  sécurisation des parcours professionnels, notamment ses articles 39 et  54 ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux
libertés ; Vu le  décret n° 2014-1717 du 30 décembre 2014  portant création d'un traitement automatisé de données à caractère  personnel dénommé  Système d'information du compte personnel de  formation  relatif à la gestion des droits inscrits ou mentionnés au  compte personnel de formation ; Vu le  décret n° 2016-1102 du 11 août 2016  autorisant la création d'un traitement de données à caractère personnel  dénommé  compte personnel de prévention de la pénibilité  ; Vu la  délibération n° 2014-434 du 23 octobre 2014  portant avis sur un projet de décret relatif à la mise en œuvre d'un  traitement de données à caractère personnel dénommé  système  d'information du compte personnel de formation  ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son  rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses  observations, Emet l'avis suivant : La Commission nationale de l'informatique et des libertés a été  saisie, par la Direction générale à l'emploi et à la formation  professionnelle (DGEFP), d'une demande d'avis préalablement à la mise en  œuvre d'un traitement de données à caractère personnel dénommé   Système d'information du compte personnel d'activité  (SI-CPA). Ce  traitement, mis en œuvre par la Caisse des dépôts et consignations  (CDC), est créé en application de l' article L. 5151-6 du code du travail, issus de la  loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels. Cette demande d'avis porte sur deux projets de décret relatifs,  d'une part, à la mise en œuvre du SI-CPA et, d'autre part, à la  dématérialisation des bulletins de paie et à leur accessibilité via le  CPA. Dans la mesure où ces traitements sont mis en œuvre par une personne  morale de droit public et qu'ils portent sur des données à caractère  personnel parmi lesquelles figure le Numéro d'inscription au Répertoire  national d'identification des personnes physiques (NIR), ils sont soumis  à une demande d'avis sur un projet de décret en Conseil d'Etat (article  27-l-1° de la loi du 6 janvier 1978 modifiée). Sur la finalité du traitement : La loi n° 2016-1088 du 8 août 2016 relative au
travail, à la  modernisatîon du dialogue social et à la sécurisation des parcours  professionnels, a créé l'article L. 5151-1 dans le  code du travail  qui institue le Compte personnel d'activité (CPA) ayant pour objectifs   par l'utilisation des droits qui y sont inscrits, de renforcer  l'autonomie et la liberté d'action de son titulaire et de sécuriser son  parcours professionnel en supprimant les obstacles à la mobilité. Il  contribue au droit à la qualification professionnelle mentionné à  l'article L. 6314-1. Il permet la reconnaissance de l'engagement  citoyen.  Le CPA est constitué d'un portail en ligne, composé d'un espace  public, comportant des informations d'ordre général sur le CPA, sur son  fonctionnement et les services proposés, ainsi que d'un espace privé  dont la création est laissée à la main de chaque individu. Cet espace  doit permettre au titulaire du compte, s'ille souhaite, de bénéficier  des services liés à l'emploi et aux parcours professionnels. Un compte  personnel d'activité a vocation à être ouvert pour l'ensemble des  individus (salariés et retraités) relevant du secteur privé et, à terme,  à l'ensemble des individus y compris les agents publics, les agents des  chambres consulaires, les travailleurs indépendants, les professions  libérales et assimilées, ainsi que les conjoints collaborateurs. En effet, sont concernées les personnes âgées d'au moins seize ans  occupant un emploi, à la recherche d'un emploi ou accompagnées dans un  projet
d'orientation et d'insertion professionnelles, accueillies dans  un établissement et service d'aide par le travail mentionné à l'article  L. 312-1 (5°, a) du  code de l'action sociale et des familles  (CASF) ou ayant fait valoir ses droits à la retraite. Par exception,  les personnes âgées d'au moins quinze ans, ayant accompli la scolarité  du premier cycle de l'enseignement secondaire et ayant signé un contrat  d'apprentissage, peuvent disposer d'un compte. La commission rappelle que, conformément aux dispositions des articles  L. 5151-1  et 5151-4 du code du travail, la mobilisation des droits inscrits sur  le compte personnel d'activité est soumise à l'accord exprès du  titulaire du compte. Aucune faute ne peut lui être reprochée en cas de  refus de mobilisation du compte. Le traitement dont a été saisie la commission vise, plus  précisément, à permettre : la consultation, par le titulaire du compte,  et l'utilisation, dans le compte personnel d'activité, des droits  inscrits ou mentionnés sur le compte personnel de formation (CPF), le  compte personnel de prévention de la pénibilité (C3P) ou le compte  d'engagement citoyen (CEC).Ce dernier compte est issu de la loi du 8  août 2016 et a pour finalité de recenser les activités bénévoles ou de  volontariat du titulaire qui ouvrent des droits, en application de l' article L. 5151- 7 du code du travail. La commission constate que, dans sa première phase, le CPA ne permettra que la consultation des droits ;
- l'accès des titulaires du compte à un service de consultation de  leurs bulletins de paie, lorsqu'ils ont été transmis par l'employeur  sous forme électronique dans les conditions définies par l'article L.  3243-2 au moyen de la plateforme de services en ligne mentionnée au Il  de l'article L. 5151-6 ; - l'accès des titulaires du compte à des services utiles à la  sécurisation des parcours professionnels et à la mobilité géographique  et professionnelle, au moyen de ladite plateforme ; - le partage entre titulaires de compte de tout ou partie des  données de leur espace personnel afin de favoriser les échanges sur des  questions liées à la sécurisation des parcours professionnels et à la  mobilité géographique et professionnelle ;  - l'analyse de l'utilisation et l'évaluation de la mise en œuvre du  compte personnel d'activité, notamment par le biais de la statistique.
La commission considère que ces finalités sont déterminées, explicites et légitimes. Par ailleurs, la commission prend acte que le service de  consultation des bulletins de paie transmis par l'employeur sous forme  électronique ne pourra ni être partagé ni faire l'objet de services de  la part de prestataires tiers. Sur la nature des données traitées : Certaines données présentes dans le SI-CPA sont directement  renseignées par le titulaire du compte, d'autres proviennent des  systèmes d'information du CPF et du C3P, d'autres enfin résultent de  l'utilisation des services en ligne relatifs à la sécurisation des  parcours professionnels, à la mobilité géographique et professionnelle,  ainsi qu'à la dématérialisation des bulletins de paie. Les données provenant des systèmes d'information du CPF (SI-CPF) et  du C3P sont les informations enregistrées dans chacun de ces comptes et  listées respectivement par l' article R. 6323-15 du code du travail et par le  décret n° 2016-1102 du 11 août 2016. Le SI-CPF recense également les informations du CEC en application des  articles L. 5151-7 et suivants du code du travail.  La commission constate que les droits acquis au titre de ces comptes  sont simplement affichés dans le CPA lorsqu'ils sont consultés via ce  compte. L'utilisation des droits n'est possible que depuis le CPF ou le  C3P. La commission relève que l'intégration du CEC dans Je CPF, mise en  œuvre par le projet de décret, a pour conséquence d'y intégrer la  collecte de
nouvelles données relatives aux activités de volontariat et  de bénévolat (nombre d'heures consacrées à ces activités, organismes  concernés, etc.). L'ouverture du CPF et du CPA à de nouvelles catégories de personnes a  également pour conséquence l'ajout de catégories de données. Ces  données ont notamment trait aux informations détenues par les organismes  de sécurité sociale, auxquels sont versées, par les personnes  concernées, les contributions à la formation professionnelle. Les données du titulaire contenues dans le CPA, autres que celles provenant des comptes précédemment cités, sont les suivantes :
- les données relatives à son parcours professionnel : activités  professionnelles exercées ou ayant été exercées, activités d'engagement  citoyen exercées ou ayant été exercées, études et formations suivies ; - les données relatives à ses compétences professionnelles : aptitudes et compétences, permis de conduire, langues étrangères ; - les données issues de l'utilisation des services en ligne mentionnés aux 1 et 11-20 et  3° de l'article L. 5151-6 du code du travail ; - les données relatives à son projet professionnel : métiers  envisagés ou recherchés, formations envisagées ou recherchées, région de  résidence actuelle ou recherchée, région du lieu de travail actuel et  recherché ; - les données issues du profil professionnel du titulaire du compte :  la dénomination de la branche professionnelle d'origine et le code APE  (Activité principale exercée) de l'employeur ; l'adresse électronique du  titulaire, qui est la seule information collectée relative à ses  coordonnées.
Concernant les données issues de l'utilisation des services en  ligne, elles ne sont pas listées par le projet de décret car elles  dépendent de la nature des services proposés via la plateforme.  Néanmoins, il s'agira exclusivement de données relatives à la vie  professionnelle du titulaire du compte ou d'informations générales de  nature professionnelle telles que des informations sur un secteur  d'activité ou encore sur des opportunités d'emploi en lien avec le  profil professionnel du titulaire. Dans le cadre des échanges avec le responsable de traitement, il est  apparu que certaines données administratives (adresse postale, adresse  électronique, numéro de téléphone) pouvaient être collectées directement  auprès de l'usager, afin de permettre aux gestionnaires de la CDC  d'entrer en contact avec l'usager, si besoin. Ces données, qui sont  également collectées dans le cadre du CPF, ne sont accessibles qu'à  l'usager et aux gestionnaires du compte. Par souci de cohérence, la  commission recommande que ces données figurent dans Je projet de décret,  parmi les informations collectées dans le cadre de la mise en œuvre du  CPA. Hormis les informations nécessaires à la création du compte (NIR,  date de création dans le référentiel CPF, sexe, date et lieu de  naissance) qui sont issues du SI-CPF, et les données administratives  citées précédemment, le CPA contient des informations d'ordre  professionnel exclusivement en lien avec les objectifs poursuivis par le  CPA.