AgentPublic/cnil huggingface dataset:
La Commission prend acte que toutes les informations permettant une identification directe du demandeur (noms, adresse, numéro interne, etc.) sont supprimées et que le numéro de matricule fait l’objet d’une procédure de transcodage irréversible à l’aide d’une fonction cryptographique à sens unique. 
Sur les sécurités
L’application @-RSA est une application accessible par un navigateur Internet, soit sur un intranet pour les agents des CAF, soit en extranet pour des agents externes (départements, Pôle emploi, CCAS et CIAS, MSA).
Le contrôle d’accès à l’application @-RSA est sécurisé par des dispositifs d’identification et d’authentification individuelle selon des modalités techniques validées par la CNIL.
Les échanges de données entre la CNAF et les départements sont sécurisés par l’utilisation d’un protocole de chiffrement et d’un procédés d’authentification, conformément aux dispositions de la Commission. 
Les transferts de données réalisés entre la CNAF et la CMSA seront également sécurisés par l’utilisation d’un réseau VPN. 
La sécurité du dispositif n’appelle pas d’observations particulières.
Sur l’information des personnes le droit d’accès et de rectification des données
Les informations recueillies lors des phases d’instruction et d’appui à l’orientation font l’objet d’une édition papier qui est remise pour validation au demandeur. Ces documents comportent une partie des prescriptions légales prévues par la loi Informatique et Libertés relatives au droit d’accès et de rectification.
La Commission estime que ces documents devraient être modifiés pour faire mention de l’ensemble des précisions de l’article 32 de la loi susvisée en indiquant la finalité du traitement et les destinataires des informations. En outre, compte tenu de l’ampleur du traitement ces mentions pourraient être complétées par d’autres mesures d’information telles que la remise de dépliants sur le RSA mis à disposition dans les lieux d’accueil du public, et l’apposition de mention sur les courriers aux allocataires.
Le projet de décret soumis à la Commission précise que :
le droit d’accès pour les informations recueillies dans le cadre du module relatif à l’instruction s’exerce auprès de l’organisme chargé du service du RSA ;
le droit d’accès pour les informations recueillies dans le cadre du module relatif à l’aide à l’orientation s’exerce auprès du département.
Sur l’utilisation du NIR dans le cadre des actes d’instruction, de service et du contrôle du RSA
Le projet de décret prévoit un article autorisant l’utilisation du NIR « aux fins d’instruction, de service et de contrôle » du RSA ainsi qu’ « aux fins d’information statistique » par les « organismes chargés du RSA, par les départements, par Pôle Emploi, ainsi que par les organismes qui versent des rémunérations ou des aides à l’emploi ou à la formation relevant des dispositifs d’insertion ».
Cet article a vocation à remplacer l’article R.262-48 du code de l’action sociale et des familles qui dispose que le NIR peut être utilisé par les « organismes payeurs du RMI et de la prime forfaitaire, par les organismes d’indemnisation du chômage et par les organismes publics ou privés qui versent des rémunérations ou des aides à l’emploi ou à la formation relevant des dispositifs d’insertion ». 
Comme elle l’avait relevé lors de l’avis rendu le 3 octobre 1995 sur cette disposition, la Commission estime que dans la mesure où l’article L.262-40 du code susvisé prévoit des échanges entre les organismes payeurs et ceux détenant des informations sur les ressources des allocataires afin de vérifier les droits des bénéficiaires et que les organismes concernés sont déjà autorisés, chacun en ce qui le concerne, à consulter et à utiliser le NIR, l’utilisation du NIR, dans ces échanges, est justifiée.
La Commission considère cependant que le projet de décret devrait reprendre la formulation de l’ancien article R.262-48, notamment en ce qu’il limite expressément l’ utilisation du NIR au « cadre des demandes et des transmission d’informations prévues par l’article L.262-40 ». 
Sur la transmission au président du conseil général des inscriptions, cessations d’inscription et radiations sur la liste des demandeurs d’emploi 
Le projet de décret soumis à la Commission crée un nouveau traitement dénommé « Liste aux présidents des conseils généraux » mis en œuvre par Pôle emploi.
Ce traitement prend la forme d’une application accessible par les personnes habilitées des conseils généraux via un portail internet sécurisé.
Sur les finalités poursuivies
Le traitement envisagé a une finalité globale de contrôle des bénéficiaires du RSA et de lutte contre la fraude qui se décompose dans le projet de décret en trois finalités. 
Il doit ainsi permettre au président du conseil général :
de suivre les inscriptions, cessations d’inscription et radiations sur la liste des demandeurs d’emploi des bénéficiaires du RSA, conformément aux dispositions de l’article L. 262-42 du code de l’action sociale et des familles ;
de contrôler le respect par les bénéficiaires du RSA des obligations mentionnées à l’article L.262-28 du code de l’action sociale et des familles (rechercher activement un emploi ou entreprendre des démarches en vue d’une meilleure insertion sociale ou professionnelle) ;
le cas échéant, de mettre en œuvre les sanctions prévues à l’article L.262-37 du code de l’action sociale et des familles et de suspendre, totalement ou partiellement, le versement du RSA. 
La Commission prend acte que cette suspension n’est pas rendue automatique par le traitement et nécessite une instruction au cas par cas.
En outre, l’article L.262-37 précité prévoit expressément que cette suspension ne peut intervenir sans que le bénéficiaire, assisté à sa demande par une personne de son choix, ait été mis en mesure de faire connaître ses observations dans un délai maximum d’un mois.
Sur les données traitées
Les données traitées proviennent directement du traitement dénommé « GIDE 1 bis » mis en oeuvre par Pôle emploi.
Il convient de rappeler que l’ANPE est autorisée à utiliser le NIR des demandeurs d’emplois depuis un décret du 17 décembre 1987. Ce décret a été modifié pour y intégrer la nouvelle institution Pôle emploi. 
Les données traitées sont mises à la disposition des présidents des conseils généraux et conservées par Pôle emploi pour une durée de deux mois suivant leur mise à disposition.
La Commission observe néanmoins que ces données peuvent être téléchargées par les présidents des conseils généraux et faire par la suite l’objet d’un traitement spécifique.
La Commission rappelle que les traitements des données éventuels mis en œuvre par les présidents des conseils généraux devront faire l’objet de formalités préalables auprès d’elle.
Sur les destinataires
Le projet de décret précise que sont destinataires de tout ou partie des données à caractère personnel, pour les nécessités liées aux seules finalités mentionnées ci-dessus, les agents du département individuellement désignés et dûment habilités.
La Commission observe que les agents habilités auront accès aux données relatives aux demandeurs d’emploi bénéficiaires du RSA, orientés vers le retour à l’emploi, uniquement s’ils sont domiciliés dans le département.
Sur les sécurités
La mise à disposition des listes des demandeurs d’emploi bénéficiaires du RSA se fait dans un premier temps par un envoi de listes par CD-ROM crypté, sous pli confidentiel, puis à compter du mois d’octobre 2009, sur le portail sécurisé du service public de l’emploi dont l’accès sera contrôlé par un dispositif de codes et de mots de passe individuels, conformément aux recommandations de la CNIL. 
Néanmoins, la Commission constate qu’il n’existe pas à ce stade de dispositif permettant de s’assurer que les connexions au portail proviennent bien des systèmes d’information des départements. 
Dès lors, la Commission estime que les mesures de sécurité doivent être renforcées soit par la restriction du téléchargement des listes aux seules adresses IP correspondant aux ordinateurs des conseils généraux, soit par la restriction du téléchargement des listes aux seuls ordinateurs qui bénéficient d’un certificat SSL adéquat.
Enfin, la Commission relève qu’un dispositif de journalisation est prévu pour assurer le suivi des listes transmises, consultées et téléchargées.
Sur l’information des personne et le droit d’accès et de rectification des données 
Des mesures ont été prises par Pôle emploi pour informer les personnes de leurs droits :
mention sur les questionnaires de collecte,
information délivrée à l’intéressé lors de l’entretien d’inscription sur la liste des demandeurs d’emploi et sur l’imprimé d’inscription.
La Commission estime que ces documents devraient être modifiés pour faire mention de l’ensemble des précisions de l’article 32 de la loi susvisée en indiquant la finalité du traitement et les destinataires des informations. En outre, compte tenu de l’ampleur du traitement ces mentions pourraient être complétées par d’autres mesures d’information, telles que la remise de dépliants sur le RSA mis à disposition dans les lieux d’accueil du public, l’apposition de mention aux courriers aux allocataires.
Le demandeur d’emploi bénéficiaire du RSA, inscrit sur la liste des demandeurs d’emploi, exerce son droit d’accès et de rectification auprès du Pôle emploi dont il relève.
Sur l’Echantillon National Interrégimes d’Allocataires de Minima Sociaux (ENIAMS)
En 2001, la Commission a été saisie par la Direction de la recherche, des études, de l’évaluation et des statistiques (DREES) du Ministère de l’emploi et de la solidarité concernant la constitution d’un Echantillon National Interrégimes d’Allocataires de Minima Sociaux afin de permettre aux pouvoirs publics de mieux connaître les « trajectoires » des personnes bénéficiaires de certains minima sociaux (RMI, allocation d’adulte handicapé, allocation de parent isolé, allocation de solidarité spécifique) entre les dispositifs à vocation sociale relevant de la CNAF ou de la CCMSA et ceux relevant de l’indemnisation du chômage.
Après avis favorable de la Commission du 4 septembre 2001, l’ENIAMS a été créé par le décret n°2002-240 du 20 février 2002, suivi d’un arrêté du 26 février 2002. 
La Commission est à nouveau saisie afin d’adjoindre dans la liste des minima sociaux concernés le RSA, ainsi que d’ajouter l’INSEE comme organisme collecteur de données sociales relatives à l’emploi (DADS), et enfin de recueillir une donnée supplémentaire relative à la date de décès des personnes bénéficiaires des minima sociaux.
Sur les finalités poursuivies
Il convient de rappeler que l’ENIAMS permet à la DREES de produire régulièrement des informations statistiques sur l’évolution de la situation des allocataires des minima sociaux et leur passage éventuel par des situations de chômage.
L’échantillon peut également être ponctuellement mis à disposition des partenaires du dispositif (CCMSA, CNAF, l’institution gestionnaire du régime d’assurance chômage), des services statistiques ou d’études ministériels et d’organismes d’études, sur la base d’une convention définissant la finalité de l’étude et contenant l’engagement des organismes destinataires à ne pas utiliser les données à d’autres fins et à en assurer la confidentialité. Les enquêtes auprès de personnes composant l’échantillon national à partir des bases de sondage constituées ne peuvent être réalisées qu’après avis de la CNIL.
Le projet de décret en Conseil d’Etat modifie la liste des minima sociaux entrant dans le champ d’application de l’échantillon en y ajoutant le revenu de solidarité active à la suite de la loi n° 2008-1249 du 1er décembre 2008 généralisant le RSA.
Le projet d’arrêté précise également que le traitement permet « de fournir à intervalles réguliers des informations statistiques sur l’évolution de la situation des allocataires de minima sociaux et leur passage éventuel par des situations d’emploi et de chômage et ce uniquement à des fins d’étude ». 
La Commission estime que les finalités, ainsi poursuivies, qui s’inscrivent dans le prolongement des politiques publiques dans le domaine social et qui ne sont pas modifiées par les projets de décret et d’arrêté, sont légitimes. 
Sur les modalités de transmission et de traitement des informations
La mise en œuvre de l’échantillon national est réalisée en trois étapes. 
La première étape repose, sur la constitution, par l’INSEE, d’un « fichier d’identification de l’échantillon » concernant les personnes nées entre le 1er et le 14 du mois d’octobre et âgées de plus de seize ans et de moins de soixante-cinq ans à la date de l’extraction. Pour chacune des personnes concernées, ce fichier comprend, d’une part, des informations extraites du Répertoire National d’Identification des Personnes Physiques (NIR, nom patronymique, prénoms, sexe, date et lieu de naissance) et d’autre part, un numéro d’ordre personnel propre à l’ENIAMS qui est attribué par l’INSEE à chaque membre du fichier. 
L’INSEE transmet ce fichier à la CCMSA, à la CNAF et à l’institution gestionnaire du régime d’assurance chômage. 
La deuxième étape consiste en l’extraction, par les trois organismes sociaux, des données relatives aux allocataires concernés à partir de leurs fichiers de gestion. Ces données sont ensuite appariées à l’aide du NIR avec celles du « fichier d’identification de l’échantillon » au niveau de la CCMSA, de la CNAF et de l’institution gestionnaire du régime d’assurance chômage.
Ces trois organismes transmettent à la DREES les données contenues dans les fichiers ainsi constitués.
Les projets de décret et d’arrêté ont pour objet de permettre à l’INSEE d’extraire des déclarations annuelles des données sociales (DADS) les données suivantes : numéro d’ordre personnel propre à l’échantillon, les caractéristiques de l’employeur (statut, secteur d’activité, taille de l’entreprise), les caractéristiques de l’emploi occupé (type de contrat de travail, durée de contrat, temps de travail, conditions d’emploi, rémunération), qualification du salarié. Ces informations seront transmises chaque année à la DREES. 
Il est précisé que l’INSEE transmettra également à la DREES chaque année un fichier comportant la date de décès des personnes ayant fait partie du fichier national d’identification ainsi que le numéro d’ordre personnel propre à l’échantillon. 
La Commission prend acte, que le NIR ne sera utilisé que pour apparier les données sélectionnées contenues dans les déclarations annuelles de données sociales et la date de décès recueillie dans le RNIPP. Ni le NIR, ni le numéro d’ordre dans l’organisme de base, ni l’identité des personnes, pas plus que le jour de naissance ne figureront au sein des fichiers transmis à la DREES par l’INSEE.
La troisième étape consiste en l’appariement, par la DREES, des fichiers transmis par les trois organismes sociaux et l’INSEE, grâce aux seuls numéros d’ordre propres à l’échantillon, pour permettre la création de l’ENIAMS. Ces numéros d’ordre personnel constituent la seule information susceptible de permettre à la fois le chaînage des données dans le temps et la constitution, par la DREES, de bases de sondage pour la réalisation d’enquêtes auprès des personnes composant l’échantillon, selon les conditions établies par le décret du 23 février 2002. 
La Commission estime que les modalités de transmission de ces données garantissent de façon satisfaisante leur confidentialité. 
Sur les données traitées
L’échantillon comporte des variables descriptives de la situation des allocataires qui concernent la situation familiale et financière, les caractéristiques de sa prise en charge et les types de prestations perçues. 
De surcroît, les données transmises par l’INSEE comporteront des précisions sur les caractéristiques de l’employeur et celles de l’emploi occupé ainsi que la qualification du salarié.
Ces informations contribueront à la compréhension des trajectoires socioprofessionnelles et les éventuelles difficultés d’insertion que peuvent rencontrer les personnes ayant recours ponctuellement ou durablement aux minima sociaux.
L’INSEE transmettra également à la DREES la date de décès des personnes composant l’échantillon afin de permettre d’identifier celles qui n’ont plus recours aux minima sociaux en raison de leur décès. 
Cette information permettra une meilleure analyse du devenir des personnes sortant des dispositifs de minima sociaux.
La Commission considère que les informations utilisées dans le cadre de l’ENIAMS sont pertinentes, adéquates et non excessives au regard des finalités poursuivies.
Sur le droit d’accès des personnes concernées par le traitement
Chaque organisme -l’INSEE, la CCMSA, la CNAF, l’institution gestionnaire du régime d’assurance chômage- est en charge du droit d’accès pour les fichiers qu’il détient dans le cadre de la mise en œuvre de l’échantillon. 
Le Président,
Alex TURK
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;Vu le code civil, et notamment ses articles 1316 à 1321 et 2196 à 2203-1;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25 (5°) ;Vu la loi n° 98-261 du 6 avril 1998 portant réforme de la réglementation comptable et adaptation du régime de la publicité foncière ;Vu le décret n° 55-22 du 4 janvier 1955 portant réforme de la publicité foncière et le décret n° 55-1350 du 14 octobre 1955 pris pour l'application du décret n° 55-22 ;Vu le décret n° 71-941 du 26 novembre 1971 relatif aux actes établis par les notaires ;Vu le décret n° 2001-272 du 30 mars 2001 pris pour l'application de l'article 1316-4 du code civil et relatif à la signature électronique ;Vu le décret n°65-422 du 1er juin 1965 portant création d'un service central d'état civil au ministère des affaires étrangères ;Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ; Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° 2006-089 du 21 mars 2006 portant autorisation unique de traitements de données à caractère personnel aux fins d'exercice des activités notariales et de rédaction des documents des
offices notariaux ;Vu la délibération n°2008-007 du 10 janvier 2008 portant autorisation unique de traitements de données à caractère personnel aux fins d'exercice des activités notariales et de rédaction des documents des offices notariaux ;Vu la délibération n°2009-358 du 18 juin 2009 portant autorisation unique de traitements de données à caractère personnel aux fins de dématérialisation des échanges intervenant entre les caisses régionales du Crédit agricole et les offices notariaux dans le domaine du crédit immobilier, dans le cadre de l'application Mécanotaires ;
Après avoir entendu Mme Claire DAVAL, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés (CNIL) constate que les offices notariaux mettent en œuvre des traitements de données à caractère personnel permettant de produire, à partir des fichiers de leurs clients, des actes authentiques qui leur sont rattachés, de créer des courriers, des documents divers ou des actes, d'y intégrer des informations en provenance d'autres traitements ou de communiquer des données vers d'autres applications internes ou externes aux offices.
Elle constate également que ces traitements de données à caractère personnel comportent des interconnexions de fichiers relevant à la fois de personnes morales de droit privé et de personnes morales de droit public, dont les finalités principales sont différentes ; en particulier avec le traitement Télé@ctes entre la direction générale des impôts et les offices notariaux visant à la dématérialisation des échanges entre le notariat et les conservations des hypothèques, avec le traitement de gestion de l'état civil du service central de l'état civil du ministère des affaires étrangères visant à la transmission par voie électronique des copies et extraits d'acte d'état civil aux offices notariaux, et avec le traitement Mécanotaires mis en œuvre par les organismes bancaires visant à la transmission par voie électronique des dossiers de crédit immobiliers.
Dès lors, de tels traitements relèvent de l'article 25 (I, 5°) de la loi du 6 janvier 1978 susvisée et doivent, à ce titre, être autorisés par la CNIL.
En vertu de l'article 25 (II) de la loi du 6 janvier 1978 susvisée, la commission peut adopter une décision unique d'autorisation pour des traitements répondant notamment aux mêmes finalités, portant sur des catégories de données et des catégories de destinataires identiques.
Le responsable de chaque traitement se conformant à cette décision unique adresse à la commission un engagement de conformité aux caractéristiques de celui-ci de la présente autorisation.
Décide que les offices notariaux qui adressent à la commission un engagement de conformité pour leurs traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à mettre en œuvre ces traitements.
Article 1Finalités du traitement.
Seuls peuvent faire l'objet d'un engagement de conformité par référence à la présente décision unique les traitements mis en œuvre par les offices notariaux aux fins d'exercice des activités notariales et de rédaction de documents correspondant aux finalités définies ci-après :Ces traitements peuvent avoir pour finalités :- la fourniture de conseils juridiques liés à la rédaction des actes et, à titre accessoire, la fourniture de conseils juridiques et fiscaux, le conseil et la gestion patrimoniaux, la négociation, l'expertise et la fourniture de services juridiques ;- la gestion administrative et financière (y compris les paiements dématérialisés) des dossiers des clients et la gestion courante de l'office notarial en résultant ;- la production, la publication, la gestion, la comptabilité et la conservation des actes ;- l'envoi et le retour d'informations ou de documents aux organismes externes à l'office notarial dans le cadre des finalités exposées précédemment et sans accès aux traitements de données à caractère personnel aux fins d'exercice des activités notariales et de rédaction des documents des offices notariaux ;- l'envoi des copies des actes authentiques, des bordereaux d'inscription et des demandes de main-levée de privilèges et sûretés, des déclarations de plus-value immobilière, des demandes de renseignements et paiements dématérialisés à la conservation des hypothèques et réception de ses réponses, dans le cadre du traitement Télé@ctes ;- la fourniture
d'informations à des organismes liés à l'office notarial exclusivement pour la production d'informations statistiques.- l'envoi dématérialisé des copies et extraits des actes de l'état civil, dans le cadre du traitement de gestion de l'état civil du service central de l'état civil du ministère des affaires étrangères ;- l'envoi et le retour d'informations ou de documents aux organismes bancaires dans le cadre de l'application Mécanotaires.