AgentPublic/cnil huggingface dataset:
(Demande d’autorisation n° 1703285)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des affaires sociales et de la santé d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’échange dématérialisé d’informations issues des certificats de santé de l’enfant entre les professionnels de santé et les services publics départementaux de protection maternelle et infantile ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 2132-2 et R. 2132-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 2 mars 1995 relatif aux modèles d'imprimés servant à établir les certificats de santé pour les examens médicaux préventifs des huitième jours, neuvième et vingt-quatrième mois de la vie ;
Vu l’arrêté du 28 juin 2013 relatif à la transmission par les services publics départementaux de protection maternelle et infantile d’informations issues des certificats de santé:
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le ministère des affaires sociales et de la santé
Sur la finalité
La finalité du traitement est de permettre l’échange dématérialisé des certificats de santé de l’enfant entre les professionnels de santé et les services publics départementaux de protection maternelle et infantile des conseils généraux.Ce traitement s’inscrit dans le cadre des dispositions de l’article L. 2132-2 du code de la santé publique qui prévoit que les enfants de moins de six ans sont soumis à des examens de santé obligatoires, notamment dans les huit jours suivant la naissance, au neuvième mois et au vingt-quatrième mois.Ces examens donnent lieu à l’établissement par les professionnels de santé d’un certificat de santé établi au moyen d’un document Cerfa dont le modèle a été déterminé par l’arrêté du 5 décembre 2005.La solution mise en œuvre consiste en une plateforme nationale de transmission des certificats de l’enfant dans un format standard, qui permettra d’améliorer la qualité et l’exhaustivité des informations contenues dans ces certificats, ainsi que les délais de transmission, dans une finalité de santé publique.La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes et estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 26-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les données faisant l’objet d’un traitement concernent les enfants soumis aux examens de santé obligatoires et leurs père et mère. Elles portent sur l’identité (nom, prénom, date et lieu de naissance), sur les informations signalétiques (sexe, poids, taille, indice de masse corporelle), sur les coordonnées (adresse, téléphone), sur la situation familiale et professionnelle ainsi que sur les données de santé telles qu’elles figurent sur les certificats de santé (vaccinations, antécédents, affections actuelles, développement psychomoteur, conditions d’allaitement).Les données relatives aux professionnels de santé font également l’objet d’un traitement (identité, coordonnées). La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités des services publics départementaux de protection maternelle et infantile des conseils généraux.L’habilitation à consulter des données de santé n’est attribuée qu’à des personnes soumises au secret médical et dans la stricte limite de leurs missions. A des fins de suivi statistique et épidémiologique de la santé des enfants, les informations contenues dans les certificats de santé sont transmises par les services publics départementaux de protection maternelle et infantile au ministre chargé de la santé ou aux services désignés à cet effet par le directeur général de l’agence régionale de santé. Cette transmission s’opère conformément aux dispositions de l’article L. 2132-3 du code de la santé publique et de l’arrêté du 28 juin 2013 pris en application de l’article précité.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par la remise d’une note d’information insérée dans les livrets d’accueil des maternités et par une mention sur les modèles d’imprimés servant à établir les certificats de santé.Les droits d’accès et de rectification s’exercent auprès du médecin responsable du service départemental de protection maternelle et infantile des personnes concernées.Conformément aux dispositions de l’article 38 alinéa 3 de la loi du 6 janvier 1978 modifiée, le traitement des données issues des certificats de santé répondant à une obligation légale prévue à l’article L. 2132-3 du code de la santé publique, les personnes concernées ne disposent pas de droit d’opposition.La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
Le traitement consiste en une plateforme nationale d’échanges des certificats de l’enfant entre les applications métier des professionnels de santé et celles des services publics départementaux de protection maternelle et infantile.Les données sont conservées chiffrés pour une durée de soixante jours sur la plateforme, le temps d’être récupérées par les destinataires. Cette plateforme est authentifiée au moyen de certificats cryptographiques émis par le GIP-CPS.Les certificats de l’enfant sont transmis sur des canaux sécurisés (HTTPS). Le dossier produit à l’appui de la demande d’autorisation prévoit que l’authentification des professionnels de santé peut s’effectuer au moyen d’une carte de professionnel de santé (CPS) ou par la combinaison d’un identifiant et d’un mot de passe. En application des dispositions de l’article L. 1110-4 du code de la santé publique, une authentification des professionnels de santé par l’utilisation d’une CPS ou d’un dispositif équivalent agréé par l’organisme chargé d’émettre la CPS doit être mise en œuvre pour toute transmission ou tout accès aux données de santé. La Commission rappelle que l’authentification par combinaison d’un identifiant et d’un mot de passe n’est pas considérée comme une solution d’authentification forte équivalente à la CPS. Les certificats accessibles par les professionnels de santé sont restreints à ceux émis au niveau de leur département de rattachement.Les administrateurs de la plateforme sont authentifiés par CPS.Une
traçabilité des transmissions est mise en œuvre et conservée durant cinq années.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant soixante jours sur la plateforme. Passé ce délai, elles sont supprimées.La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, le ministère des affaires sociales et de la santé à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1574643)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société Grupo Antolin France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle permettant aux salariés de signaler des manquements à son code d’éthique ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
Vu la délibération de la Cnil n° 2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société Grupo Antolin France située à Guyancourt est une société française rattachée à l’entreprise multinationale espagnole Grupo Antolin. En France, six entreprises sont rattachées au groupe : 
Grupo Antolin Loire à Roche-la-Molière (42230)
Grupo Antolin Ingénierie siège à Roche-la-Molière (42230)
Grupo Antolin IGA à Hénin-Beaumont (62110)
Grupo Antolin Jarny à Jarny (54800)
Grupo Antolin Cambrai à Raillencourt-Sainte-Olle (59554)
Grupo Antolin France à Guyancourt (78280)
Grupo Antolin Vosges à Rupt-sur-Moselle (88360)
La société Grupo Antolin France agit en qualité de responsable de traitement pour l’ensemble des sociétés du groupe Grupo Antolin concernées par le dispositif d’alerte professionnelle. En effet la Commission constate qu’elle détermine seule les finalités et les moyens du traitement. 
Sur la finalité
La finalité du traitement est la mise en œuvre d’un dispositif d’alerte professionnelle permettant aux salariés de signaler des manquements au code d’éthique de l’entreprise et de traiter les signalements.
En effet, dans le cadre de sa politique interne, le groupe Grupo Antolin a publié un code d’éthique dont l’objectif est de garantir une conduite responsable du développement de ses activités.
Dans le cadre de la mise en œuvre de ce code, sera mis en place un dispositif d’alerte professionnelle, comme moyen supplémentaire mis à la disposition du personnel et complémentaire aux autres modes d’alerte existants dans le groupe (hiérarchie, service du personnel, instances représentatives du personnel) pour signaler un éventuel manquement aux règles du code éthique.
Le champ du dispositif est strictement limité aux manquements graves qui s’appliquent aux domaines suivants :
Droit du travail ;
Environnement ;
Lutte contre la corruption ;
Informations confidentielles ;
Relation avec les concurrents ;
Relations avec les fournisseurs ;
Lutte contre la discrimination et promotion de la diversité ;
Indépendance des collaborateurs ;
Hygiène et sécurité au travail ;
Lutte contre toute forme de violence et d’harcèlement ;
Compte tenu de nature du traitement, il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). Cette délibération a été modifiée le 14 octobre 2011 et intègre désormais dans le champ d’application de l’article 1er les pratiques anticoncurrentielles.
Elle observe que le traitement objet de la présente délibération répond à toutes les exigences prévues par ladite autorisation, à l’exception des dispositions de l’article 1er relatives au champ d’application du dispositif. En effet, le traitement se fonde sur le respect des dispositions du code éthique de Grupo Antolin et non sur une obligation législative ou réglementaire.
Elle rappelle que le dispositif d’alerte doit être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés.
La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ d’application et répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée. 
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification de l’émetteur de l’alerte (nom, prénom, adresse mail) ;
(Demande d’autorisation n° 1673627)
La Commission nationale de l'informatique et des libertés,
Saisie par HOWMET CIRAL SNC d’EVRON d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité Finalité;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ; 
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif. 
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
La Commission est saisie par HOWMET CIRAL SNC d’EVRON.
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle dédié au traitement des alertes des collaborateurs de la société HOWMET IRAL SNC d’EVRON portant sur des manquements graves dans les domaines suivants :-Financier, comptable, bancaire ;-Lutte contre la corruption ;-Pratiques anticoncurrentielles ;-Respect de la réglementation sur l’environnement ;-Respect de la réglementation relative à l’hygiène, la santé, la sécurité au travail et aux conditions de travail ;-Respect des règles relatives aux conflits d’intérêt ;-Divulgations d’informations confidentielles (secret de fabrique et secret des affaires) ;-Lutte contre le harcèlement moral et sexuel ;-Lutte contre les discriminations (discriminations liées à la vie privée, à l’appartenance syndicale ou l’exercice de fonctions syndicales) ;-Violences physiques et morales ;-Respect des droits de l’homme ;-Pratiques commerciales prohibées ou trompeuses ;-Atteintes aux systèmes d’information ;La Commission considère que cette finalité est déterminée, explicite et légitime.Elle relève que la mise en œuvre de ce traitement est justifiée par la politique éthique du groupe Alcoa. Compte tenu de la sensibilité de son secteur d’activité (fabriquant d’aluminium notamment pour les équipements aéronautiques et militaires), du caractère dangereux de ses activités (développement de combustibles, métaux et produits chimiques) et du secret de fabrique qui entoure cette activité,
le groupe Alcoa souhaite prendre toutes les mesures de sécurité utiles permettant de lutter contre les atteintes à la protection, la sécurité et l’intégrité physique et psychique de son personnel, ainsi que la protection, l’intégrité et la sécurité de ses établissements et des utilisateurs finaux, et de l’environnement. La Commission rappelle qu’un dispositif d’alerte professionnelle doit être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations.La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ d’application et répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.S’agissant des modalités de signalement des alertes, la Commission prend acte que les collaborateurs de la société  HOWMET CIRAL SNC d’EVRON disposeront d’un site internet et d’une ligne téléphonique dédiés.
Sur les données traitées
Les données collectées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte et des éventuels témoins mentionnés ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés ;
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives ou disproportionnées.
Elle relève, à ce titre, que dans le cadre du dispositif conçu par   HOWMET CIRAL SNC d’EVRON il est demandé à tout émetteur de l’alerte de s’identifier. Celle-ci est traitée de façon confidentielle. L’anonymat n’est pas encouragé et les alertes anonymes sont traitées avec prudence.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel du présent traitement sont le personnel en charge de la réception des alertes, le personnel en charge de la vérification interne des alertes et le directeur de l’éthique du groupe Alcoa. La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.Elle relève, par ailleurs, que l’intégralité des personnes impliquées dans le traitement d’une alerte est astreinte à une obligation de confidentialité.Les données font l'objet d'un transfert hors de l'Union Européenne vers la maison mère située aux Etats-Unis laquelle a adhéré au Safe Harbor. Le prestataire en charge du traitement des alertes est également situé aux Etats-Unis et a adhéré au Safe Harbor.
Sur l’information et le droit d’accès
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la  procédure.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement.
Autorise, conformément à la présente délibération, la société HOWMET CIRAL SNC d’EVRON à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1673643)
La Commission nationale de l'informatique et des libertés,
Saisie par la société HUCK SAS d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité Finalité;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ; 
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004). 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif. 
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du traitement
La Commission est saisie par la société HUCK SAS.
Sur la finalité