AgentPublic/cnil huggingface dataset:
• données relatives à l'attestation : date d'émission, date des droits attestés, nombre d'unités de consommation, code barre.
• pour les contrats collectifs : nom, prénom de l'ayant droit au TSS, nom et prénom du client, date de signature de l'ayant droit, adresse, nom du fournisseur de gaz naturel, référence client du contrat gaz naturel pour la chaudière collective, référence du point de comptage et d'estimation, la mention de l'utilisation d'autres énergies que le gaz naturel pour la chaudière collective.
• pour les contrats individuels : référence du point de comptage et d'estimation, référence client, numéro de téléphone du titulaire du contrat, la consommation annuelle de référence, fournisseur de gaz naturel.
Destinataires
Seules les personnes habilitées en interne pourront y avoir accès.
Information et droit d'accès 
Les clients sont informés, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par une mention portée sur les attestations. 
Les droits d'accès et de rectification s'exerceront par voie postale auprès de Acticall - Tour La Villette - 6 rue Emile Raynaud - 75916 Paris Cedex 19 - ou par téléphone via un numéro vert dédié au TSS. 
Le Président
Alex TÜRK
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ; 
Vu la loi n°2010-476 du 12 mai 2010 relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard en ligne, notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n°2010-518 du 19 mai 2010 relatif à la mise à disposition de l'offre de jeux et de paris par les opérateurs agréés de jeux ou de paris en ligne, et notamment son article 19 ;
Vu l'arrêté du 19 mai 1993 autorisant la création au ministère de l'intérieur et de l'aménagement du territoire d'un fichier automatisé des casinos et des exclus des salles de jeux ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
L'Autorité de Régulation des Jeux en Ligne (ARJEL) a saisi la CNIL d'une demande de modification de la délibération n°2010-263 autorisant la mise en œuvre d'un traitement automatisé des données à caractère personnel relatif aux personnes inscrites dans le fichier des jeux tenu par le ministère de l'intérieur.
En vertu de l'article 26 de la loi n°2010-476 du 12 mai 2010, l'ARJEL permet aux opérateurs de jeux en ligne agréés d'interroger, via son système d'information, le fichier des jeux tenu par le ministère de l'intérieur. Pour ce faire, le ministère de l'intérieur adresse tous les mois à l'ARJEL la liste des personnes figurant sur le fichier des jeux. A réception de ces données, l'ARJEL génère immédiatement une empreinte pour chaque personne présente dans la liste. 
L'ARJEL précise que, à ce jour, seuls les nom, prénom et date de naissance des personnes concernées sont utilisés pour la génération de l'empreinte (et non le lieu de naissance). Le lieu de naissance n'est utilisé que pour procéder à une vérification supplémentaire si la confrontation des empreintes générées est positive. 
En outre, l'ARJEL souhaite pouvoir archiver les empreintes générées, ainsi que les lieux de naissance, au-delà du délai d'un mois initialement prévu. En effet, l'archivage de ces données lui permettra de faire face à d'éventuels contentieux ou demandes d'information quant à la génération des empreintes.
Dès lors, la délibération n°2010-263 du 24 juin 2010 est modifiée comme suit : 
- la 2ème phrase du paragraphe 4 A réception de ces données, un agent de l'ARJEL génère immédiatement une empreinte pour chaque personne présente dans la liste et détruit les données d'origine est remplacée par la phrase suivante A réception de ces données, un agent de l'ARJEL génère immédiatement une empreinte, à partir des nom, prénom et date de naissance, pour chaque personne présente dans la liste et détruit les données d'origine .
- au paragraphe 6 La confrontation de ces empreintes permet de déterminer si la personne figure sur la liste transmise à l'ARJEL et donc dans le fichier des jeux est ajouté de la phrase suivante 
Si la confrontation est positive, le lieu de naissance est utilisé pour procéder à une vérification supplémentaire .
- les phrases suivantes des paragraphes 11 et 12 Les données contenues dans la liste transmise par le ministère seront conservées le temps nécessaire à la création de ces empreintes. Les empreintes individuelles sont, quant à elles, conservées pendant un mois , sont remplacées par les phrases suivantes Les données contenues dans la liste transmise par le ministère (à l'exclusion des lieux de naissance) seront conservées le temps nécessaire à la création de ces empreintes. Les empreintes individuelles, ainsi que les lieux de naissance associés, seront conservées pendant un mois, puis archivées .
Ces modifications n'appellent pas d'observations particulières.
Dès lors, la Commission autorise l'ARJEL à mettre en œuvre, selon les modalités susmentionnées, le traitement automatisé des données à caractère personnel relatif aux personnes inscrites dans le fichier des jeux tenu par le ministère de l'intérieur.
Le Président 
Alex TÜRK
La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la route, notamment ses articles L. 234-15 et R. 234-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu l'arrêté du 13 octobre 2009 modifiant l'arrêté du 2 juillet 1982 relatif aux transports en commun de personnes ;
Vu la délibération n° 2010-005 du 28 janvier 2010 portant autorisation unique, la Commission a autorisé la mise en place d'éthylotests anti-démarrage (EAD) dans les véhicules affectés au transport de personnes (autorisation unique n° 26) ;
Sur le rapport de M. Eric PERES, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la Société Veolia Transport Alpes Maritimes à mettre en œuvre des bornes éthylotest fixes et mobiles à des fins préventives, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La société Veolia Transport Alpes Maritimes
Finalités
Les bornes éthylotests fixes et mobiles sont installées à des fins exclusivement préventives.
Au demeurant, en application de l'article 10 de la loi du 6 janvier 1978 modifiée, aucune sanction disciplinaire ne peut être prise sur le seul fondement des résultats de l'éthylotest. 
Caractéristiques particulières du traitement
Par délibération n° 2010-005 du 28 janvier 2010 portant autorisation unique, la Commission a autorisé la mise en place d'éthylotests anti-démarrage (EAD) dans les véhicules affectés au transport de personnes (autorisation unique n° 26).
Dans cette délibération, l'EAD est défini comme un dispositif embarqué (mobile) qui en cas de taux d'alcoolémie égal ou supérieur à un taux prédéfini de concentration d'alcool par litre d'air expiré, empêche le démarrage du véhicule .
Or, outre les EAD embarqués sur certains de ses cars, la société Veolia Transport Alpes Maritimes a prévu d'équiper le bureau Véolia Transport de l'aéroport de Nice d'une borne fixe d'éthylotest afin de contrôler les chauffeurs en début de service sur des cars affectés uniquement aux pistes d'aéroports (ces cars hors gabarit ne peuvent pas circuler sur route). Ces contrôles sur borne fixe se feront sous la responsabilité d'un agent de maitrise. En cas d'inaptitude, le salarié est renvoyé vers la médecine du travail. 
Données traitées
Les données collectées sont les suivantes :
• la trace informatique des blocages ;
• la trace informatique des démarrages sans utilisation de l'éthylotest ;
• les manipulations entrainant la désactivation de l'éthylotest ;
• les détachements et rattachements du combiné de l'éthylotest ;
• l'horodatage des évènements ci-dessus ;
• le numéro de la borne éthylotest ;
• le taux d'alcoolémie en cas de test positif. 
Si ces données ne constituent pas en tant que telles des données à caractère personnel, le fait qu'il soit possible, à partir du numéro de la borne éthylotest, d'identifier un conducteur en particulier, y compris de manière indirecte, permet de considérer que ces données constituent des données à caractère personnel au sens de l'article 2 de la loi du 6 janvier 1978 modifiée.
Les données relatives au taux d'alcoolémie des conducteurs ne doivent être ni consultées, ni communiquées, ni utilisées, conformément à l'article L.234-15 du code de la route.
Conformément aux recommandations de la Commission, le seuil choisi est inférieur au taux maximal autorisé dans le secteur des transports en commun. 
Destinataires
Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, seuls peuvent être destinataires des données les personnes nommément désignées par le chef d'entreprise.
Ces destinataires ne peuvent en aucun cas accéder au taux d'alcoolémie. 
Durée de conservation 
Les informations peuvent être stockées sur la borne éthylotest pour une durée maximum de 45 jours. 
L'employeur peut conserver les données issues de la borne éthylotest à l'exception du taux d'alcoolémie pendant une durée de deux mois maximum à compter de la date d'enregistrement de l'évènement dans la borne.
Information et droits des personnes 
Les personnes sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, de l'identité du responsable de traitement, de la finalité poursuivie par le traitement, des destinataires des données et des droits qu'ils détiennent, par affichage.
Le droit d'accès et de rectification s'exercent auprès de la société Veolia transport Alpes Maritimes - ZI Lingostiere Chemin des Ecoles - 06200 NICE.
Le Président
Alex TÜRK
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 13 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 modifiée, notamment son article 3 ;
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission ;
Après qu'il a été procédé au vote en la présence du Commissaire du gouvernement ;
Constate :
Article 1er : M. Jean-Paul AMOUDRY est élu Vice-président de la Commission nationale de l'informatique et des libertés.
Article 2 : La Présidente de la Commission est chargée de l'exécution de la présente délibération, qui sera publiée au Journal Officiel.
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978, relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 11 (3°, c) et 13 ;Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978, modifiée par la loi n° 2004-801 du 6 août 2004 ;Vu la délibération n° 2011-249 du 8 septembre 2011 portant modification de l'article 69 du règlement intérieur de la Commission nationale de l'informatique et des libertés et insérant un chapitre IV bis intitulé  Procédure de labellisation  ;Après avoir entendu M. Jean-François Carrez, commissaire, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L'article 11 (3°, c) de la loi du 6 janvier 1978 modifiée dispose qu' à la demande d'organisations professionnelles ou d'institutions regroupant principalement des responsables de traitements, [...la CNIL] délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, après qu'elles les a reconnus conformes aux dispositions de la [loi du 6 janvier 1978 modifiée] .La commission a estimé que les demandes faites par des organisations professionnelles ou institutions regroupant principalement des responsables de traitements correspondent à un besoin des professionnels de ce secteur.C'est la raison pour laquelle la commission accepte de délivrer des labels en matière de formations tendant à la protection des personnes à l'égard du traitement des données à caractère personnel.L'article 53-3 du règlement intérieur de la commission précise que  l'examen d'une demande de label est effectué sur la base d'un référentiel établi par la commission. Ce référentiel définit les caractéristiques que doit présenter un produit ou une procédure afin que celui-ci soit reconnu conforme aux dispositions de la loi du 6 janvier 1978 modifiée. Il précise les modalités d'appréciation de cette conformité et, le cas échéant, les particularités relatives aux vérifications subséquentes à la délivrance du label .Par conséquent, la présente délibération fixe le référentiel d'évaluation des formations tendant à la protection
des personnes à l'égard du traitement des données à caractère personnel,
Décide que le référentiel permettant l'évaluation des demandes de labels relatifs à des formations tendant à la protection des personnes à l'égard du traitement des données à caractère personnel figure en annexe de la présente délibération, qui est publiée au Journal officiel de la République française.
A N N E X ERÉFÉRENTIEL AUX FINS DE LABELLISATION DES FORMATIONS
IntroductionUne formation est définie comme un processus destiné à produire et à développer les connaissances, les savoir-faire et les comportements nécessaires à la satisfaction d'exigences (définition issue de la norme ISO 10015  Management de la qualité-lignes directrices pour la formation ).Une formation informatique et libertés est donc un processus destiné à produire et à développer des connaissances, des savoir-faire et des comportements nécessaires au respect de la loi informatique et libertés. Il est à noter que ledit processus peut se dérouler sur plusieurs jours et comprendre plusieurs modules indépendants les uns des autres.Le présent référentiel définit les critères et les moyens permettant à la commission de déterminer si les formations faisant l'objet d'une demande de label permettent effectivement d'atteindre un tel objectif.Il comporte deux parties correspondant aux deux phases de l'évaluation effectuées par la commission et qui portera sur :- l'activité de formation (exigences sur la méthode, notées  EMxx  dans le chapitre Ier) ;- le contenu de la formation, qui est composé :- d'un module principal de connaissances fondamentales que la formation doit comporter a minima dans son curriculum pour prétendre au label (exigences sur le contenu du module principal, notées  ECxx  dans le chapitre II) ;- de modules complémentaires, que la formation peut également comporter dans son curriculum (exigences sur le contenu supplémentaire, notées  ESxx  dans le chapitre
III).Les demandeurs doivent démontrer qu'ils satisfont les exigences du référentiel en fournissant des explications et des éléments de preuves. Ceux-ci pourront prendre la forme d'un extrait d'un référentiel interne, d'un descriptif d'une méthode ou d'une procédure, ou de tout autre document. Pour être valable, la démonstration proposée ne doit pas se contenter de reprendre le contenu des exigences pour indiquer que la formation soumise à l'évaluation est conforme à celles-ci, mais doit faire comprendre en quoi la formation évaluée y répond de manière spécifique et détaillée.Une partie de ce référentiel (chapitre Ier) est une interprétation de la CNIL de la norme NF ISO 29990 (services de formation dans le cadre de l'éducation et de la formation non formelles - exigences de base pour prestataires de services, 2010), seul le texte original et complet de cette norme, telle que diffusée par AFNOR - accessible via le site internet www.afnor.org - a valeur normative.
Terminologie
Apprenant
Personne engagée dans un processus d'apprentissage (ISO 29990).
Connaissance
Acquisition de capacité par le biais de la formation notamment.
Compétence
Connaissances, compréhension, habiletés ou attitude qui sont observables et/ou mesurables, mises en œuvre et maîtrisées dans une situation de travail donnée et dans le cadre du développement professionnel et/ou personnel (ISO 29990).
Commanditaire de la formation
Organisme ou individu apportant un soutien financier ou autre à l'apprenant ou étant manifestement intéressé par le résultat de l'apprentissage (ISO 29990).
Curriculum
Plan d'étude élaboré par le prestataire de services de formation, qui décrit les objectifs à atteindre, le contenu, les résultats de l'apprentissage, les méthodes d'enseignement et d'apprentissage et les processus d'évaluation (ISO 29990).
Formation
Processus destiné à produire et à développer les connaissances, les savoir-faire et les comportements nécessaires à la satisfaction d'exigences (ISO 10015).
Formateur
Personne travaillant avec les apprenants pour les aider dans leur apprentissage (ISO 29990).
Organisme de formation
Organisme de toute taille ou individu fournissant des services de formation.
1. Référentiel d'évaluation de l'activité de formation1.1. Exigences relatives au respect de la loiinformatique et libertés par l'organisme de formation
EM01. L'organisme de formation a mis en place une démarche visant à s'assurer de la conformité à la loi informatique et libertés de l'ensemble des traitements qu'il met en œuvre pour l'ensemble de ses activités, dont la formation.EM02. L'organisme de formation a procédé aux formalités préalables relatives aux traitements mis en œuvre au titre de la gestion de son personnel et de l'ensemble de ses activités, dont la formation.EM03. L'organisme de formation informe, dans le respect des dispositions de la loi informatique et libertés, les personnes concernées par les traitements qu'il met en œuvre.EM04. L'organisme de formation met en place une procédure destinée à gérer les demandes et les réclamations des personnes dont il traite les données.
1.2. Exigences relatives à l'identificationdes besoins de formation
EM05. L'organisme de formation dispose d'une procédure pour tenir compte des besoins des apprenants et de leur commanditaire lors de la conception du contenu de la formation et du processus de formation (par exemple : formulaire de recueil de besoin, étude de marché réunion préparatoire à l'organisation de la formation...).EM06. L'organisme de formation dispose d'une procédure pour s'assurer que les méthodes et supports de formation utilisés sont appropriés pour atteindre les objectifs énoncés (par exemple : consultation de professionnels de la protection des données, enquête de satisfaction...).EM07. L'organisme de formation dispose d'une procédure pour que le contenu de la formation et le processus de formation tiennent compte des résultats de la formation (par exemple : évaluation des apprenants, analyse des questionnaires de satisfaction).
1.3. Exigences relatives au processusde conception de la formation
EM08. L'organisme de formation doit mettre au point et documenter un curriculum et les moyens d'évaluation appropriés de la formation.EM09. L'organisme de formation dispose de méthodes de formation qui répondent aux objectifs et aux exigences du curriculum et tiennent compte des besoins des apprenants.EM10. L'organisme de formation dispose de procédures destinées à revoir et mettre à jour le contenu de la formation tant en fonction des besoins et retours des apprenants et de leur commanditaire, que de l'actualité, de l'évolution de la législation et du développement des techniques.
1.4. Exigences relatives à la compétenceet à l'évaluation des formateurs
EM11. L'organisme de formation s'assure que son personnel et ses formateurs possèdent les compétences requises pour identifier les besoins des apprenants, concevoir la formation et délivrer son contenu (par exemple : en auditionnant le formateur, en assistant à une session de formation...).EM12. L'organisme de formation s'assure que les formateurs ont une expérience professionnelle de cinq ans au minimum dans le secteur de la protection des données.EM13. L'organisme de formation s'assure que les formateurs ont effectué deux formations au minimum dans les deux dernières années.EM14. L'organisme s'assure que les formateurs disposent des compétences clés requises et que ces compétences sont entretenues.EM15. L'organisme de formation met en place des dispositifs d'évaluation des compétences de son personnel et des intervenants. Ce processus est documenté.EM16. L'organisme de formation dispose d'une procédure pour demander un retour aux apprenants sur les méthodes, les ressources employées, ainsi que sur leur efficacité à produire les résultats de la formation convenus.EM17. L'organisme de formation s'assure que les procédures d'évaluation choisies et mises en œuvre fournissent des informations fiables sur les compétences de son personnel et des intervenants.
1.5. Exigences relatives aux conditions de réalisationde la formation
EM18. L'organisme de formation informe l'apprenant et son commanditaire des objectifs de la formation, de son format, des instruments pédagogiques utilisés et, le cas échéant, des critères d'évaluation utilisés pour l'évaluation.EM19. L'organisme de formation informe l'apprenant et son commanditaire des prérequis comme les qualifications et l'expérience professionnelle nécessaires à l'apprentissage.EM20. L'organisme de formation s'assure que les ressources de la formation sont disponibles et accessibles aux apprenants.
2. Référentiel d'évaluation du contenu du module principalde la formation2.1. Exigences relatives à la présentationdes principes et des définitions
EC01. La formation permet de comprendre et de connaître les notions de traitement, de fichier, de données à caractère personnel, de responsable de traitement et de destinataire.EC02. La formation permet de comprendre et de connaître le champ d'application matériel de la loi.EC03. La formation permet de comprendre et de connaître le champ d'application géographique de la loi.
2.2. Exigences relatives à la présentation des conditionsde licéité des traitements