AgentPublic/cnil huggingface dataset:
Toutefois, il est rappelé que les obligations issues de la loi du 6 janvier 1978 modifiée incombent au responsable de traitement, qu'en l'espèce la procédure a été engagée à l'encontre de la personne morale X indépendamment des changements de personnes physiques dirigeantes.
Dans ces conditions, la formation restreinte considère que X a manqué à son obligation de respecter les dispositions du chapitre IV de la loi du 6 janvier 1978 précitée, et que le manquement reproché est ainsi constitué. 
2. Sur les manquements aux obligations de procéder à un traitement loyal des données et d'informer les personnes conformément à l'article 32 de la loi du 6 janvier 1978 modifiée
La formation restreinte rappelle veiller avec attention, en matière de fichiers d'exclusion, au respect du principe de transparence, en exigeant la délivrance d'une information complète aux personnes concernées à tous les stades du traitement ; de la collecte des données litigieuses à l'inscription effective sur la liste noire.
Aux termes de l'article 6-1° de la loi n° 78-17 du 6 janvier 1978 un traitement ne peut porter que sur des données à caractère personnel qui sont collectées et traitées de manière loyale (...).
En l'espèce, il est établi et non contesté que [...] ont procédé à une collecte des informations relatives aux mauvais payeurs directement auprès de ces derniers et sans les en informer. En effet, comme le reconnaît la direction actuelle du Syndicat X, celui-ci a diffusé à ses adhérents un formulaire vierge intitulé déclaration d'incidents de paiement invitant les destinataires à ne pas informer les adjudicataires défaillants à propos desquels des données à caractère personnel étaient collectées. À cet effet, ce formulaire portait la mention X rappelle que les informations sur les incidents de paiement sont communiquées par mail à l'ensemble de ses adhérents, sous la responsabilité de la SVV qui les lui a transmises. Il est instamment demandé de ne pas informer les personnes visées de la diffusion du message, afin d'éviter tout risque de poursuite pour diffamation. 
Il est également établi que [...] adhérentes de X complétaient et renvoyaient à ce dernier les informations concernant les adjudicataires défaillants, sans que cette compilation ultérieure soit davantage connue des personnes.
De ce fait, tant les opérations de collecte des données que leur traitement ultérieur par le Syndicat ont été réalisées à l'insu des personnes concernées.
Cette opacité sur le traitement mis en œuvre est d'autant moins compréhensible qu'il résulte des échanges intervenus entre la Commission et le Syndicat que ce dernier a eu connaissance de son obligation d'informer les personnes concernées au moment de la collecte des données, de la réalisation de l'incident susceptible de donner lieu à inscription dans le fichier et de l'inscription effective dans le fichier.
La formation restreinte juge donc que X a intentionnellement manqué à son obligation de respecter les dispositions de l'article 6-1° de la loi du 6 janvier 1978 précitée. Par ailleurs, l'article 32-I de cette même loi prévoit que la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 3° Du caractère obligatoire ou facultatif des réponses ; 4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 5° Des destinataires ou catégories de destinataires des données ; 6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ; 7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne. .
À fortiori si la collecte et le traitement des informations relatives aux mauvais payeurs ont été effectuées à l'insu de ces derniers, il n'a pas non plus été procédé à leur information complète au regard de l'article 32-I précité. Les personnes concernées n'ont donc pas été mesure d'exercer les droits qu'elles détiennent en application de l'article susvisé. 
Une fois de plus, la formation restreinte relève que cette obligation légale a été formellement rappelée par courrier au Syndicat. 
En l'espèce, X ne conteste pas avoir manqué à son obligation d'information. À cet égard, la formation restreinte rappelle conformément à sa position constante, que l'obligation d'information des personnes repose également sur le responsable de traitement d'une liste noire mutualisée quand bien même il n'aurait pas de contact direct avec les personnes fichées. 
3. Sur le manquement à l'obligation de définir une durée de conservation des données non excessive 
Aux termes de l' article 6-5° de la loi n° 78-17 du 6 janvier 1978 Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : [...]5° Elles sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
En l'espèce, il est établi que X a conservé dans ses systèmes d'information et sur papier des tableaux informatisés des mauvais payeurs et fichiers dont les plus anciens sont datés de l'année 2006 
Sur ce point, la formation restreinte considère ce qui suit.
Il ressort des échanges entretenus entre X et la CNIL, que ce dernier envisageait de conserver les données relatives aux mauvais payeurs pendant six mois, durée jugée pertinente par les services de la Commission. La formation restreinte rappelle, en effet, que dans le cas des ventes volontaires il peut être légitime de disposer d'une information récente sur les adjudicataires défaillants. Or, il est établi que la durée de conservation effectivement mise en œuvre était de plusieurs années. Elle excède manifestement la durée pour laquelle la finalité du traitement est légitime. X bien qu'informé des préconisations de la Commission, a poursuivi la conservation des données litigieuses pour une durée qu'il savait excessive.
X a fait valoir, tant dans ses observations écrites qu'orales, que le traitement de données à caractère personnel objet de la présente décision de sanction a été décidé et mis en œuvre par les précédentes instances décisionnelles du Syndicat et qu'informé de la situation, l'équipe actuelle a fait procéder à la destruction des traitements litigieux, tout en prenant le soin d'en faire établir une copie sous format numérique et papier déposée chez notaire et tenue à la disposition de la formation restreinte. 
Toutefois et comme rappelé précédemment, le changement d'équipe dirigeante ne permet pas à l'organisme poursuivi d'échapper aux responsabilités qui sont les siennes en application de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la formation restreinte estime que X a méconnu les dispositions de l'article ° 6-5° de la loi du 6 janvier 1978 précitée. 
Sur les manquements constatés
Dès lors la formation restreinte considère que X a violé les dispositions susvisées de la loi du 6 janvier 1978 modifiée, et verra de ce fait prononcer à son encontre un avertissement.
En outre, au regard de la gravité des manquements constatés, de la volonté manifeste de dissimuler aux personnes dont les données figurent dans les traitements mis en œuvre l'existence du traitement, de la volonté de se soustraire aux formalités imposées par la loi, la formation restreinte décide de rendre public cet avertissement. 
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide :
- De prononcer un avertissement à l'encontre du Syndicat X ;
- De rendre public cet avertissement. 
La Présidente
Claire DAVAL
Cette décision est susceptible de faire l'objet d'un recours devant le Conseil d'État dans un délai de deux mois à compter de sa notification.
(Autorisation n°911535)
La Commission nationale de l’informatique et des libertés,
Saisie par l’Institut national d’études démographiques (INED), le 9 décembre 2011, d’une demande d’autorisation relative aux applications informatiques qui seront nécessaires à la réalisation et à l’analyse des résultats de l’enquête téléphonique réalisée auprès des parents des enfants âgés de un an inclus dans la cohorte « Elfe ».
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°51-711 du 7 juin 1951 modifiée relative à l’obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 54 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n°2011-081 du 17 mars 2011 autorisant l’Institut national des études démographiques (INED) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le lancement de l’enquête Elfe ;
Vu l’avis du Comité du label du Conseil national de l’information statistique (CNIS) attribuant le label d’intérêt général et de qualité statistique à la troisième phase de l’enquête longitudinale française depuis l’enfance (ELFE) : enquête auprès des enfants de 1 an en 2012 ;
Après avoir auditionné Mme Marie-Aline CHARLES, directrice de l’unité mixte INED-INSERM chargée de la cohorte « Elfe », M. Bertrand GEAY, sociologue et Mme Nancy GRYNSZPAN, Chef du service juridique de l’INED le 2 mai 2012 devant la Commission réunie en séance plénière ; 
Après avoir entendu Mme Marie-Hélène MITJAVILE, commissaire et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’Institut National d’Etudes Démographique (INED) a saisi la CNIL, le 9 décembre 2011, d’une demande d’autorisation relative à la mise en œuvre des traitements automatisés de données à caractère personnel nécessaires à la réalisation et à l’analyse des résultats de l’enquête téléphonique réalisée auprès des parents des enfants âgés de un an inclus dans la cohorte « Elfe ».
La Commission rappelle que l’étude de cohorte sur le devenir de l’enfant, baptisée « Elfe », (Etude Longitudinale Française depuis l’Enfance) a débuté en avril 2011 et relève qu’elle a permis l’inclusion de 18 500 enfants au cours de quatre vagues d’enquête menées dans 320 maternités en France métropolitaine.
Elle rappelle que l’enquête Elfe est la première étude longitudinale pluridisciplinaire sur le développement des enfants menée en France. Elle vise à suivre, à intervalles réguliers, un échantillon national représentatif d’enfants, de la naissance à l’âge adulte, afin de mieux comprendre comment l’environnement affecte le développement de l’enfant, sa santé, sa socialisation et son parcours scolaire.
Les résultats de cette enquête permettront de formuler des recommandations afin d’aider les pouvoirs publics à mettre en place des politiques familiales et de santé adaptées. Elle constituera également un outil pour la recherche et la surveillance épidémiologiques. 
La Commission rappelle que l’enquête a reçu le soutien de nombreuses administrations et organismes publics, qu’elle est financée par les ministères en charge de la Recherche, de la Santé et de l’Ecologie, de l’Energie et du développement durable et s’inscrit dans le projet « Grand emprunt » 2012. 
La Commission a autorisé, par délibération n°2011-081 du 17 mars 2011, les traitements de données à caractère personnel nécessaires au lancement de l’enquête et aux premières phases de collecte qui se sont déroulées en maternité et à l’enquête téléphonique qui a eu lieu 6 à 8 semaines après la naissance de l’enfant.
Sur la finalité de l’enquête
L’enquête objet de la présente demande d’autorisation s’inscrit dans le processus des recueils d’informations à intervalles réguliers inhérent à l’étude. Elle sera réalisée par voie de questionnaire téléphonique informatisé auprès des parents qui n’ont pas formulé d’opposition à leur participation à l’enquête au premier anniversaire de l’enfant.
L’enquête a pour objectif principal d’actualiser les données collectées en maternité et aux deux mois de l’enfant. Il s’agit donc de poursuivre le recueil de données concernant l’environnement de l’enfant (familial, social, économique, culturel, alimentaire…), d’identifier les changements éventuels de situations survenus et de recueillir des informations sur les événements de santé précoces (recours aux soins, pathologies), sur la santé des parents (soins dentaires, renoncement aux soins, qualité de vie), ainsi que sur les difficultés d’apprentissage ou d’expression qu’ils auraient rencontré au cours de l’enfance.
Des thèmes nouveaux seront également abordés relatifs à la séparation d’avec les parents et aux relations entre le père et la mère de l’enfant, au quartier et au voisinage du logement, au développement psychomoteur de l’enfant, aux pratiques éducatives des parents (jeux, activités avec l’enfant) et à leurs équipements en biens culturels.
Le questionnaire comporte, enfin, un volet sociologique qui porte sur les valeurs et affiliations des parents destiné à identifier l’environnement social de l’enfant et à comprendre comment la transmission des valeurs et des idées s’opère des parents aux enfants. Il comporte des questions d’opinion destinées à apprécier le degré de confiance des parents dans les institutions (justice, armée, médias, école…) et des questions relatives à leur intégration dans le tissu social (appartenance à une association, un parti politique ou un réseau). 
La Commission relève que la prise en compte des remarques et recommandations du Comité du label du Conseil national de l’information statistique (CNIS) a permis de lever la réserve suspensive relative au questionnaire qu’il avait émise le 8 février 2012 et que l’enquête objet de la présente demande a reçu le label d’intérêt général et de qualité statistique du CNIS, le 20 mars 2012.
La Commission estime que la finalité des traitements nécessaires à la réalisation des opérations de collecte, de transfert et de stockage des données dans le cadre de cette nouvelle phase d’enquête est déterminée, explicite et légitime au sens de l’article 6 de la loi du 6 janvier 1978 modifiée.
S’agissant du régime de formalités applicable, la Commission considère que ces traitements de données à caractère personnel relèvent du champ d’application du chapitre IX de la loi du 6 janvier 1978 modifiée (articles 54 et suivants), relatif aux traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé. Ils sont donc soumis à l’autorisation préalable de la Commission après avis du Comité Consultatif sur le Traitement de l’Information en matière de Recherche dans le domaine de la Santé (CCTIRS).
La Commission relève que le CCTIRS a rendu un avis favorable à l’enquête objet de la présente demande.
Sur les conditions de mise en œuvre de l’enquête à un an
Les entretiens téléphoniques seront réalisés au cours de quatre vagues d’enquête en 2012 par des enquêteurs spécialement formés de l’institut de sondage GfK-ISL France qui a été retenu au terme d’une procédure d’appel d’offres. 
Afin d’informer les parents de cette nouvelle phase d’enquête, un courrier (lettre-avis) leur sera adressé un mois avant l’appel téléphonique de l’enquêteur. 
Après la mise à jour de la « fiche contact » qui, seule, contient les informations directement nominatives nécessaires au suivi de l’enfant et à la continuité des observations, les données seront recueillies par voie de questionnaire séparé.
Les informations identifiantes nécessaires à la réalisation de l’enquête seront adressées à l’institut de sondage dans des conditions de nature à garantir leur confidentialité. La Commission rappelle, à cet égard, que la réidentification des participants nécessaire à l’échantillonnage propre à chaque phase d’enquête n’est possible que dans des conditions spécifiques et ponctuelles qui supposent l’intervention de plusieurs entités.
L’enquêteur disposera pour chaque personne enquêtée de deux numéros d’identification propres à l’enquête, l’un utilisé pour la mise à jour de la fiche « contact », l’autre pour la saisie des autres données de l’enquête, de sorte qu’il sera impossible de relier les données nominatives aux autres données dans les fichiers informatiques. 
La prestation de l’institut de sondage qui concourt à la réalisation de l’étude sera encadrée par une convention qui définira les opérations que ce prestataire est autorisé à réaliser à partir des données confiées, ainsi que les engagements qu’il prend de garantir leur sécurité et leur confidentialité, en particulier l’interdiction d’utiliser les données à d’autres fins et l'engagement de les détruire à l'issue de la prestation.
Au terme de l’enquête, l’ensemble des données propres à l’étude, une fois validées, sera transmis pour intégration et stockage « atomisé » dans le système d’information « Elfe » (dénommé Pandora). Une fois cette transmission effectuée, les données recueillies seront détruites par l’institut de sondage qui émettra un procès-verbal de destruction des données sur ordre de l’équipe Elfe. 
La Commission en prend acte et relève que les conditions de mise en œuvre de l’enquête, et notamment les procédures et règles de sécurité qui entourent la collecte, le transfert et le stockage des données, sont conformes à celles sur lesquelles elle s’est prononcée par délibération du 17 mars 2011 et qui n’avaient pas appelé d’observation de sa part. 
Sur les données collectées et la collecte de données relevant de l’article 8 de la loi
La Commission prend acte que la collecte de données identifiantes relatives aux personnes interrogées servira uniquement à établir le contact avec ces dernières et actualiser les données nécessaires au suivi des enfants et à la continuité des observations. Elle rappelle que la collecte de données identifiantes est inhérente à un suivi de cohorte.
S’agissant des données sensibles au sens de l’article 8 de la loi du 6 janvier 1978, modifiée, la Commission relève que les parents seront interrogés sur leur adhésion à un parti politique (sans mention du parti concerné), sur leur participation électorale et sa régularité. Le volet « valeur et affiliation » du questionnaire comporte, enfin, une question invitant les parents à se situer sur une échelle de « gauche » à « droite » numérotée de 1 à 10.
La Commission constate que la formulation de la question relative à l’orientation politique a été modifiée pour tenir compte des recommandations du Comité du label du CNIS et remplacée, à sa demande, par une question issue du World value survey.
L’INED indique que la collecte de cette variable est destinée à permettre, par l’analyse corrélée avec d’autres variables, de rendre compte des modes de socialisation de l’enfant.
La Commission constate qu’on demande aux parents un « positionnement », sans les interroger sur leur « appartenance » politique, ce qui s’apparente davantage à un « ressenti d’appartenance » et se distingue de questions sur l’appartenance partisane ou les choix politiques exprimés lors des élections passées, dans la mesure où les questions posées ne sont pas conçues pour recenser les personnes interrogées en fonction de leur appartenance politique déclarée.
La Commission constate que la pertinence de la collecte de cette variable a recueilli un avis favorable de la part du CCTIRS. Elle constate également que le CNIS a levé la réserve suspensive qu’il avait émise sur le questionnaire, une fois la question relative à la sensibilité politique reformulée et compte tenu de la possibilité ouverte aux parents de ne pas répondre. 
La Commission prend acte que les personnes interrogées seront clairement informées, pour chacune des questions « sensibles » et celle-ci en particulier, de la possibilité de ne pas répondre ou de se déclarer sans opinion et en seront informées par la lecture systématique de la modalité de réponse « refuse de répondre » et « sans opinion ».
La Commission demande que cette faculté leur soit en outre rappelée à la lecture de la phrase introductive annonçant le sujet qui va être abordé, avant même que les questions ne soient posées.
La Commission souligne enfin la prudence qui doit entourer d’une part le recueil des données – qui ne doit pas déboucher sur la saisie d’informations plus précises d’appartenance politique – et d’autre part le traitement des résultats dans le cadre, sensible, d’une étude portant sur le développement des enfants. 
Dans ces conditions, et compte tenu, par ailleurs, des mesures mises en œuvre pour assurer la sécurité et la confidentialité des données, la collecte de ces données peut être admise.
Sur les droits des personnes concernées
La Commission rappelle que les parents sont libres d'accepter ou de refuser de participer à l'enquête. Ils peuvent également décider de mettre un terme à leur participation à l’enquête « Elfe » à tout moment sans avoir à justifier leur décision. La Commission rappelle qu’ils en ont été très clairement informés au moment de leur entrée dans l’étude. 
Les personnes interrogées seront informées de cette nouvelle phase de collecte et de son caractère facultatif, par l’envoi d’un courrier (lettre-avis) qui leur sera adressé un mois avant l’appel téléphonique de l’enquêteur. 
La Commission en prend acte et demande que le caractère facultatif de l’enquête soit rappelé dans l’introduction du questionnaire administré par l’enquêteur. 
Elle relève que le courrier mentionne que les parents seront interrogés sur leurs valeurs. Elle demande toutefois, afin que l’information des personnes interrogées soit la plus complète possible, que cette information soit complétée par la mention de questions relatives à leur sensibilité politique et sociale et leur appartenance à des associations. Elle estime, en effet, qu’une telle mention, justifiée par le caractère spécifique et sensible des questions posées, est de nature à garantir leur libre participation à l’enquête.
Sur les conditions de mise à disposition des données et les destinataires des données
La Commission rappelle que compte tenu de la sensibilité des données traitées et de l’envergure et de la durée de l’étude, une attention particulière a été portée à la sécurité des données dans le système d’information de gestion des données, afin d’en garantir la confidentialité.
La Commission rappelle, à cet égard, qu’un système élaboré d’anonymisation est mis en œuvre par atomisation des données et des entités qui les détiennent et que l’anonymisation n’est réversible, pour permettre, à chaque nouvelle étape de l’enquête, de fournir les informations nécessaires à la collecte, que moyennant un contrôle strict qui suppose l’intervention de plusieurs instances (une instance de décision et une instance de liaison). 
Elle prend également acte que les enquêteurs habilités de l’Institut de sondage soumis contractuellement à une clause de confidentialité seront seuls destinataires des données identifiantes relatives aux personnes interrogées strictement nécessaires à la réalisation de leur prestation, que ces données seront dissociées des réponses aux questionnaires et détruites une fois les données validées.
Lors de l’exploitation des données, les résultats seront présentés sous une forme agrégée ne permettant pas, par recoupement ou par tout autre moyen, l’identification d’une personne déterminée.