AgentPublic/cnil huggingface dataset:
B) Sur le déroulement du vote   1. Le vote   Les heures d'ouverture et de fermeture du scrutin électronique doivent pouvoir être contrôlées par les membres du bureau de vote et les personnes désignées ou habilitées pour assurer le contrôle des opérations électorales.   Pour se connecter à distance ou sur place au système de vote, l'électeur doit se faire reconnaître par un dispositif d'authentification établi, conformément à la présente recommandation, permettant au serveur de vérifier son identité et s'il n'a pas déjà voté.   L'électeur accède aux listes ou aux candidats officiellement retenus et dans l'ordre officiel. Le vote blanc doit être prévu lorsque la loi l'autorise.   L'électeur doit pouvoir choisir une liste, un candidat ou un vote blanc de façon à ce que ce choix apparaisse clairement à l'écran indépendamment de toute autre information. Il devrait avoir la possibilité de revenir sur ce choix.   Il valide ensuite son choix et cette opération déclenche l'envoi du bulletin de vote dématérialisé vers le serveur des votes.   L'électeur devrait recevoir immédiatement confirmation de son vote et avoir la possibilité de conserver une trace de cette confirmation.   2. Le chiffrement du bulletin de vote   Le bulletin de vote doit être chiffré par un algorithme public réputé "fort" dès son émission sur la machine à voter ou le terminal d'accès à distance et être stocké sur le serveur des votes sans que ce chiffrement n'ait été à aucun moment interrompu. La liaison entre
le terminal de vote de l'électeur et le serveur des votes doit faire l'objet d'un chiffrement pour assurer la sécurité tant du procédé d'authentification de l'électeur que la confidentialité de son vote.   3. L'émargement   L'émargement doit se faire dès la validation du vote de façon à ce qu'un autre vote ne puisse intervenir à partir des éléments d'authentification de l'électeur déjà utilisés. L'émargement comporte un horodatage. La liste d'émargement doit être située sur un système distinct de celui contenant l'urne électronique. Cette liste, aux fins de contrôle de l'émargement, ainsi que le compteur des votes ne doivent être accessibles qu'aux membres du bureau de vote et aux personnes autorisées.   La liste d'émargement doit être enregistrée sur un support scellé, non réinscriptible, rendant ainsi son contenu inaltérable et probant.
4. Le dépouillement   Le dépouillement est actionné par les clés de déchiffrement, remises par le président du bureau de vote après la clôture des opérations de vote aux membres du bureau dûment désignés au moment de la génération de ces codes. Les membres du bureau doivent actionner publiquement le processus de dépouillement.   Les décomptes des voix par candidat ou liste de l'élection doivent apparaître lisiblement à l'écran et faire l'objet d'une édition sécurisée pour être portés au procès-verbal de l'élection. Le cas échéant, l'envoi des résultats à un bureau centralisateur à distance devrait s'effectuer selon une liaison sécurisée empêchant toute captation ou modification des résultats.   Le système de vote électronique doit être bloqué après le dépouillement de sorte qu'il soit impossible de reprendre ou de modifier les résultats après la décision de clôture du dépouillement prise par la commission électorale.
III) Sur le contrôle des opérations de vote a posteriori par le juge électoral   1. Les garanties minimales pour un contrôle a posteriori   Pour les besoins d'audit externe, notamment en cas de contentieux électoral, le système de vote électronique doit être capable de fournir les éléments techniques permettant au minimum de prouver de façon irréfutable que :   - durant le scrutin le procédé de scellement est resté fiable ;   - les clés de chiffrement/déchiffrement ne sont connues que de leurs seuls titulaires ;   - le vote est anonyme ;   - la liste d'émargement ne comprend que les électeurs ayant voté ;   - l'urne dépouillée est bien celle contenant les votes des électeurs et elle ne contient que ces votes ;   - aucun décompte partiel n'a pu être effectué durant le scrutin ;   - la procédure de décompte des votes enregistrés doit pouvoir être déroulée de nouveau.   2. La conservation des données portant sur l'opération électorale   Tous les fichiers supports (copies des programmes sources et exécutables, matériels de vote, fichiers d'émargement, de résultats, sauvegardes) doivent être conservés sous scellés jusqu'à l'épuisement des délais de recours contentieux. Cette conservation doit être assurée sous le contrôle de la commission électorale dans des conditions garantissant le secret du vote. Obligation doit être faite, le cas échéant, au prestataire de service de transférer l'ensemble de ces supports à la personne ou au tiers nommément désigné pour assurer la
conservation des supports. Lorsque aucune action contentieuse n'a été engagée avant l'épuisement des délais de recours, il doit être procédé à la destruction de ces documents sous le contrôle de la commission électorale.   Dans la phase d'expérimentation des systèmes de vote électronique, la CNIL demandera qu'un bilan de la mise en oeuvre du dispositif de vote électronique utilisé soit établi à brève échéance suivant le déroulement de l'élection et lui soit adressé.   Le Président, Michel GENTOT
La Commission nationale de l'informatique et des libertés,   Saisie pour avis par le Ministère de la jeunesse, de l'éducation nationale et de la recherche d'un projet d'arrêté portant création d'un traitement automatisé d'informations nominatives (demande d'avis n° 854083) ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Après avoir entendu Monsieur Hubert Bouchet, commissaire, en son rapport, et Madame Charlotte Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :   Sur les finalités poursuivies   Dans le cadre de son programme dénommé "Bureau virtuel" destiné à promouvoir l'accès aux technologies de l'information et de la communication auprès de ses personnels, le Ministère de la jeunesse, de l'éducation nationale et de la recherche a saisi la Commission d'une demande d'avis concernant un traitement automatisé d'informations nominatives dénommé "I-Prof".   Ce traitement permet à tout enseignant de bénéficier, via un point d'entrée unique, personnalisé et sécurisé, d'un bouquet de services comprenant :   - l'accès aux données professionnelles et administratives le concernant, actuellement disponibles dans les bases de données informatisées de gestion des personnels de l'éducation nationale ("AGAPE" pour le premier degré et "EPP" pour le second degré),   - la possibilité de signaler des erreurs dans les informations contenues dans la partie administrative du dossier,   - la possibilité de compléter les informations le concernant dans la partie curriculum vitae du dossier et d'éditer le curriculum vitae   - l'accès aux procédures d'administration électronique (opérations de promotion, de mutation, de formation ...), "I-Prof" constituant un portail vers les applications internet actuelles dédiées à ces opérations et qui ont succédé aux services télématiques,   - l'accès aux résultats des actes de gestion le concernant,   - la consultation des textes juridiques de référence et des guides concernant
la carrière et le métier d'enseignant,   - l'accès à une messagerie électronique avec un gestionnaire attitré permettant une information personnalisée en temps réel concernant tout élément de sa vie administrative et professionnelle.   L'application "I-Prof", s'appuyant sur des bases de données académiques, est constituée de deux modules, l'un dit "enseignants", l'autre dit "gestionnaires et inspecteurs".   Le premier module est accessible par internet (site extranet) à partir de n'importe quel ordinateur. Ainsi, un enseignant peut se connecter à "I-Prof" de son domicile ou à partir des points d'accès à internet disponibles dans chaque établissement.   Le second module, non accessible via internet, est accessible soit à partir d'un poste de travail installé dans les locaux des services académiques, soit par un poste extérieur.   La Commission estime légitimes les objectifs poursuivis dans le cadre de l'outil "I-Prof".
Sur la pertinence des données enregistrées   La Commission prend acte du fait que les données accessibles dans le cadre de "I-Prof" se limitent aux données de gestion des dossiers administratifs des enseignants extraites des applications "AGAPE" et "EPP" de gestion des personnels du premier et du second degrés, ainsi qu'aux données complémentaires librement communiquées par l'enseignant concerné.
Sur les destinataires des données enregistrées   Les destinataires des informations enregistrées dans "I-Prof" sont les enseignants concernés et les inspecteurs de l'éducation nationale (à l'exception des messages électroniques) ainsi que les inspecteurs d'académie-inspecteurs pédagogiques régionaux (à l'exception des messages électroniques) qui, les uns et les autres, sont déjà destinataires des données des applications "AGAPE" et "EPP".   Comme pour "AGAPE" et "EPP", sont également destinataires des informations enregistrées dans "I-Prof" les gestionnaires des personnels qui sont les gestionnaires administratifs des personnels enseignants du premier degré (en inspections académiques) et du second degré (rectorats) et les personnels de la direction des personnels enseignants du Ministère de la jeunesse, de l'éducation nationale et de la recherche gérant les personnels détachés et affectés à l'étranger. Au titre de la gestion intégrée des personnels, ils ont accès à l'ensemble des données concernant les personnels dont ils ont la charge.   La Commission estime légitimes les habilitations d'accès ainsi définies dans le cadre de "I- Prof".
Sur les durées de conservation des données   Les informations sont accessibles sur l'extranet "I-Prof" jusqu'à la fin de l'année scolaire suivant le départ de l'enseignant.   S'agissant des éléments composant la rubrique "curriculum vitae", leur conservation est laissée à la libre appréciation de l'agent.   Enfin, le contenu de la rubrique "messagerie électronique" est conservé sur deux années scolaires au plus.   La Commission considère ces durées de conservation comme non excessives.
Sur les mesures prises pour garantir la confidentialité des données   Plusieurs procédés sont mis en oeuvre pour assurer l'authentification des utilisateurs et des serveurs de l'application "I-Prof", ainsi que le chiffrement et l'intégrité des données.   En particulier, l'accès à distance des gestionnaires et inspecteurs aux informations par un poste dit "nomade" est notamment sécurisé par un dispositif s'appuyant sur une "clé USB" - support physique doté d'un port de communication USB permettant la connexion de la clé sur tout ordinateur du marché - contenant un logiciel support d'un certificat associé à un code PIN que doit composer l'utilisateur pour se connecter à "I-Prof".   En outre, les connexions à "I-Prof" sont journalisées afin de permettre un contrôle a posteriori des accès à l'application.   La Commission relève cependant que le procédé actuel d'authentification de "I-Prof" basé sur un login et un mot de passe paraît insuffisant dans la mesure où il n'est prévu aucun contrôle de la longueur minimale du mot de passe, aucune fréquence de renouvellement obligatoire, ni aucune interdiction d'utiliser les derniers mots de passe.   La Commission recommande en conséquence la définition de règles en ce domaine ou la généralisation d'un procédé assurant l'authentification des utilisateurs de "I-Prof" tel que, par exemple, le dispositif de "clé USB" déjà mis en oeuvre dans le cadre du module "gestionnaires et inspecteurs".
Sur le droit d'accès et de rectification, le droit d'opposition, et l'information des personnels enseignants   La Commission observe que, de par sa finalité et son mode de fonctionnement, le traitement "I-Prof" est de nature à faciliter l'exercice du droit d'accès et de rectification des enseignants aux données nominatives qui les concernent.   Elle relève également qu'il n'est en aucun cas fait obligation aux enseignants de se connecter à "I-Prof", de consulter ou de compléter leur dossier. En ce sens, toutes les procédures administratives et de gestion peuvent être réalisées par l'enseignant sur support papier.   De plus, les enseignants disposent de la possibilité de s'opposer, à tout moment, à la mise en ligne sur l'extranet des informations les concernant. La Commission prend acte du fait que l'exercice de ce droit ne pourra porter sur une rubrique particulière de "I-Prof", mais uniquement sur l'ensemble du dossier de l'enseignant exerçant son droit d'opposition.   Elle considère toutefois nécessaire de rappeler au Ministère de la jeunesse, de l'éducation nationale et de la recherche son obligation d'informer très clairement les personnels enseignants sur les objectifs poursuivis par la mise en oeuvre de ce dispositif, sur les destinataires des informations enregistrées, et sur leur droit de faire compléter ou rectifier les données les concernant, mais également de s'opposer à la mise en ligne de leur dossier dans l'outil "I-Prof".
Emet un avis favorable au projet d'arrêté présenté par le Ministère de la jeunesse, de l'éducation nationale et de la recherche portant création du traitement "I-Prof",   Recommande au ministère de renforcer les mesures envisagées afin d'assurer la sécurisation des accès à l'application "I-Prof" par la définition de règles visant à mieux encadrer l'utilisation des mots de passe ou par la généralisation d'un procédé assurant l'authentification des utilisateurs de "I-Prof" tel que, par exemple, le dispositif de "clé USB" déjà mis en oeuvre dans le cadre du module "gestionnaires et inspecteurs",   Demande à être saisie dans le délai d'un an des mesures retenues par le ministère afin de répondre à cet objectif de renforcement de l'authentification des utilisateurs de "I-Prof",   Rappelle au ministère son obligation de procéder à une parfaite information des personnels enseignants sur les objectifs poursuivis par la mise en oeuvre de ce dispositif, sur les destinataires des informations enregistrées et sur leur droit de faire compléter ou rectifier les données les concernant mais également de s'opposer à la mise en ligne de leur dossier dans l'extranet "I-Prof".   Le Président, Michel Gentot.
La Commission nationale de l'informatique et des libertés ;   Vu la convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 précitée ;   Vu l'article 9 du code civil ;   Vu les articles 226-16 à 226-24 du code pénal ;   Après avoir entendu Monsieur Guy ROSIER, Commissaire, en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du gouvernement, en ses observations.
Formule les observations suivantes :   La modernisation des transports collectifs a conduit de nombreuses sociétés à proposer de nouveaux titres de transport à leurs usagers, reposant sur l'utilisation de cartes nominatives, magnétiques ou à puce. Il en découle la mise en oeuvre par ces sociétés de traitements automatisés d'informations nominatives, au sens de l'article 5 de la loi du 6 janvier 1978. Ces outils billettiques sont conçus pour faciliter l'accès et les déplacements des voyageurs et leur proposer des services complémentaires.   La Commission constate que l'utilisation de ces cartes nominatives entraîne la collecte, à l'occasion de la validation, c'est-à-dire la présentation de la carte devant une borne de contrôle en entrée, sortie du réseau, ainsi qu'à l'occasion d'une correspondance, des trajets effectués par le titulaire. Vont ainsi être mémorisés, tant sur la carte que dans l'ordinateur central de la société de transport, les date, heure et lieu des passages ainsi que le numéro de carte utilisé. Or, ce numéro de carte est indirectement nominatif au sens de l'article 4 de la loi du 6 janvier 1978 car il rend possible l'identification du titulaire de la carte dont les coordonnées figurent dans le fichier clientèle.   Dès lors, les traitements automatisés mis en oeuvre pour assurer le bon fonctionnement de ces titres billettiques créent un risque sérieux en matière de protection des données personnelles. En effet, les déplacements des personnes utilisant ces
cartes peuvent être reconstitués et ne sont plus anonymes, ce qui est de nature à porter atteinte tant à la liberté, fondamentale et constitutionnelle, d'aller et venir, qu'au droit à la vie privée qui constitue également un principe de valeur constitutionnelle.   La Commission nationale de l'informatique et des libertés, qui est chargée de veiller à ce que l'informatique ne porte atteinte ni à la vie privée ni aux libertés individuelles ou publiques, considère qu'il y a lieu d'attacher un soin particulier à la mise en oeuvre de tels traitements.   Cette recommandation est applicable quelle que soit la forme sous laquelle les informations relatives aux déplacements des personnes sont conservées, qu'il s'agisse de traitements automatisés d'informations nominatives ou de fichiers manuels ou mécanographiques.
Recommande :   Sur les finalités du traitement   En application de l'article 5 b) et c) de la convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel : "Les données à caractère personnel faisant l'objet d'un traitement automatisé sont (...) enregistrées pour des finalités déterminées et légitimes et ne sont pas utilisées de manière incompatible avec ces finalités, et sont (...) adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées".   Les finalités justifiant la mise en oeuvre des traitements de billettique doivent être clairement indiquées et détaillées parmi les cinq catégories suivantes :   Délivrance et utilisation des titres de transport :   . gestion des abonnements et délivrance des titres de transport   . gestion des opérations de contrôle des titres de transport   . gestion des opérations du service après vente   Gestion et suivi des relations commerciales :   . gestion des offres commerciales (partenariats, personnalisation des offres, ...)   . gestion des programmes de fidélisation   Gestion de la fraude :   . détection de la contrefaçon et de la fraude technologique   . instruction des dossiers de fraude technologique   . gestion des cartes mises en liste noire suite à une perte ou un vol   . gestion des cartes mises en liste noire suite à la détection d'un usage abusif   . gestion des cartes mises en liste
noire suite à un incident de paiement   Analyses statistiques d'utilisation des réseaux :   . analyses statistiques du trafic   . analyses statistiques de la nature des titres de transport délivrés   . analyses statistiques d'utilisation par type de titres de transport   Mesure de la qualité du fonctionnement du système :   . analyses des problèmes techniques liés à la carte   . analyses des problèmes techniques liés aux valideurs   . détection des anomalies fonctionnelles du système d'information
Sur la nature des informations collectées   La collecte et le traitement des données relatives aux déplacements des personnes, sous la forme de la date, de l'heure et du lieu de la validation du titre de transport via une borne de contrôle en entrée ou sortie du réseau de transport, sont susceptibles de porter atteinte à la liberté d'aller et venir et au droit à la vie privée lorsque ces données sont associées à un élément permettant d'identifier la personne concernée, en l'occurrence le numéro de la carte.   Les traitements appliqués aux données relatives aux déplacements des personnes devraient donc être anonymisés, à l'exception de ce qui relève de la gestion de la lutte contre la fraude.   En toute hypothèse, il est hautement souhaitable que la possibilité de circuler de façon anonyme, au moyen d'un titre billettique ou non, soit maintenue.   Le nombre d'événements de validation enregistrés dans la carte, qui varie actuellement entre deux et six, devrait, à l'occasion du passage à la prochaine génération de carte, être limité à quatre.   La collecte de la photographie devant figurer sur le support du titre de transport doit être accompagnée de la possibilité, pour l'usager, de s'opposer à sa conservation, sous une forme numérique.
Sur la durée de conservation des données relatives aux déplacements des personnes dans le cadre de la lutte contre la fraude   Il paraît nécessaire de distinguer deux délais, selon qu'il s'agit de détecter la fraude dans l'ensemble des cartes utilisées ou, une fois qu'une fraude est détectée, d'en traiter les suites.   Les données relatives aux déplacements des personnes, sous la forme d'une indication de la date, de l'heure et du lieu, associées à un élément permettant d'identifier la personne à laquelle elles sont rattachées, tels un numéro de carte, ne devraient être conservées que le temps nécessaire à la détection de la fraude. Ce délai ne devrait pas excéder deux jours consécutifs y compris le délai de sauvegarde.   Suite à la détection d'une fraude, les données susmentionnées ne devraient être conservées que le temps de déterminer s'il s'agit d'une fraude avérée et dans un tel cas, le temps de l'instruction de l'affaire par les autorités judiciaires.
Sur l'information des personnes concernées   En application des articles 26 et 27 de la loi du 6 janvier 1978, toute personne peut s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement et doit être informée de ses droits d'accès et de rectification. En outre, l'article 10 de la directive 95-46 du 24 octobre 1995 dispose que les personnes dont les données à caractère personnel font l'objet du traitement doivent également être informées de l'identité du responsable du traitement ainsi que des finalités du traitement auquel les données sont destinées.   Dès lors, les personnes concernées par les traitements billettiques doivent être informées que des données relatives à leurs déplacements sont collectées, les finalités de traitements mis en oeuvre doivent leur être précisées et la possibilité d'utiliser des titres de transports anonymes doit être portée à leur connaissance.   Les personnes concernées doivent également être informées des destinataires des données, notamment dans le cadre d'une intermodalité développée entre différents réseaux de transports.