AgentPublic/cnil huggingface dataset:
La Commission a été saisie par le Conseil général de la Gironde d’une demande d’autorisation relative au traitement de données à caractère personnel ayant pour finalité le suivi des demandes de protection et de signalements de maltraitance des personnes âgées (PA) ou handicapées (PH). 
La Commission considère qu’il y a lieu de faire application des articles 8-IV, 25-I-1° et 25-I-7° de la loi du 6 janvier 1978 modifiée.
Dans le cadre des subventions versées par le Conseil général aux établissements d’accueil pour personnes âgées ou handicapées du département, le Conseil général doit répondre d’une obligation de veiller à la bien traitance des personnes accueillies. Ce traitement de données est mis en œuvre afin de mieux répondre à cette exigence.
Sur les finalités
La finalité du traitement est de permettre l’instruction de tous les signalements de maltraitance concernant les personnes âgées ou handicapées, quel que soit leur mode d’accueil. 
Dans cet objectif, la Commission prend acte que le fichier Excel créé ne servira qu’au suivi des différentes étapes de l’instruction (état d’avancement), à l’exclusion de tout diagnostic social ou médical.
Sur les données collectées
Les données traitées concernent :
l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
la situation familiale et les habitudes de vie de la personne victime de maltraitance ;
la situation sociale de celle-ci ;
l’état général de santé de celle-ci (pathologies, antécédents familiaux, soins, situations à risque). 
Les informations traitées permettent uniquement aux personnels compétents du Conseil général et au Procureur de prendre connaissance de la procédure en cours. 
Les informations relatives aux dossiers de maltraitance (faits allégués ou observés, actions et suivis mis en œuvre) figurent uniquement dans des dossiers sous format « papier ». Ceux-ci ne restent accessibles qu’aux personnels habilités à instruire les signalements de maltraitance.
Sur les destinataires
Les catégories de destinataires habilités à recevoir communication des données traitées sont, à raison de leurs attributions respectives, les agents habilités du Conseil général et le Procureur. 
Compte tenu du caractère sensible des données, la Commission appelle l’attention du Conseil général sur le fait que le régime d’habilitation doit être strictement défini. Il s’agira particulièrement de veiller à ce que tous les agents habilités soient soumis au secret professionnel ou, a minima, à un devoir de réserve (agents administratifs). 
Sur la durée de conservation
Les données nominatives des demandeurs sont conservées dans le traitement soit la durée de la prescription légale des faits (c’est à dire 3 ans à compter de la commission des faits) soit la durée du contentieux en cours. Cette durée de conservation n’appelle aucune observation de la Commission.
Sur la sécurité
La Commission a pris acte que le traitement de données sera effectué sur un fichier de type Excel. 
Du fait du caractère particulièrement sensible des données susceptibles d’être traitées (données de santé saisies sous format nominatif), elle recommande que le traitement de ces données soit effectué au moyen d’un logiciel permettant une gestion plus satisfaisante des profils d’habilitation. 
Elle attire l’attention du Conseil général de la Gironde sur le fait que, compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, signes distinctifs) doit être mis en œuvre.
De même, pour garantir la confidentialité des données en dehors du Conseil général, la Commission rappelle que tout échange dématérialisé de données sur la santé des personnes concernées doit faire l’objet d’un chiffrement.
Le traitement de ces données ne doit faire l’objet d’aucune interconnexion, d’aucun rapprochement ni d’aucune autre forme de mise en relation.
Enfin, la Commission recommande que soit mise en œuvre une journalisation des données permettant de tracer les contenus accédés et les types d’opérations effectuées.
Sur les droits des personnes
L’information des personnes (droits d’accès, de rectification et d’opposition) s’effectuera par deux moyens : un affichage spécifique dans les lieux d’accueil des personnes âgées ou handicapées ainsi que des mentions mises à disposition sur le site Internet du Conseil général de la Gironde. 
La présidente,
Isabelle FALQUE-PIERROTIN
(Autorisation n°1520441)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108, du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 8-IV, 25-I-1° et 25-I-6° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié ;
Vu les articles L.2111-2 et L.2111-3 du code de la santé publique ;
Vu la demande d’autorisation du Directeur Général du Conseil général de la Gironde relative au traitement de données à caractère personnel ayant pour finalité la gestion des trois certificats de santé du jeune enfant ; 
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport et Mme ROLIN, commissaire du Gouvernement, en ses observations ;
Décide :
La Commission a été saisie par le Conseil général de la Gironde d’une demande d’autorisation relative au traitement de données à caractère personnel ayant pour finalité la gestion des trois certificats de santé du jeune enfant au 8ème jour, 9ème et 24ème mois de la vie des enfants. 
La Commission considère qu’il y a lieu de faire application des articles 8-IV, 25-I-1° et 25-I-6° de la loi du 6 janvier 1978 modifiée. 
Ce traitement de données est mis en œuvre dans le service de protection maternelle et infantile (PMI) du Département de la Gironde. 
Sur les finalités
L’objet du traitement est, pour le service de la PMI de gérer les certificats de santé du jeune enfant.
Il répond également à l’obligation des officiers d’Etat civil de transmettre une copie des actes de naissance et de décès des jeunes enfants de moins de 6 ans à la PMI. 
La Commission prend acte que ce traitement ne permet d’établir aucune présélection des enfants à risque susceptibles d’un suivi individuel.  
Sur les données collectées
Les données traitées correspondent à des données :
d’identification (nom, prénom, date et lieu de naissance, sexe), comportant le numéro de sécurité sociale de la mère dans le cadre de sa prise en charge par l’assurance maladie et des futures allocations familiales qu’elle percevra ; 
relatives à la situation familiale de la mère ;
relatives à la situation professionnelle/scolaire de celle-ci ;
relatives à la santé de la mère et de l’enfant (pathologies, antécédents familiaux, soins, comportements à risque tels que consommation d’alcool et de tabac). 
L’ensemble des informations traitées proviennent des actes de naissance envoyés par les services de l’Etat civil, ainsi que des certificats de santé tels que définis par les documents CERFA relatifs à la déclaration de grossesse (CERFA 50040 04 et 10112 04) et aux certificats de santé (CERFA 12596 02, 12597 03, 12598 03), qui comportent notamment le NIR. 
Les données collectées sont strictement proportionnées aux nécessités du suivi de la mère et de l’enfant. Ce qui n’appelle aucune observation.
Sur les destinataires
Les catégories de destinataires habilités à recevoir communication des données traitées sont, à raison de leurs attributions respectives : 
les médecins, 
les sages-femmes, 
les puéricultrices de la PMI, 
les agents habilités du Conseil général en charge de la saisie des formulaires CERFA soumis à une obligation de confidentialité, et à l’exclusion de toute donnée de santé qui ne serait pas inscrite dans les formulaires CERFA saisis. 
Compte tenu du caractère sensible des données, la Commission appelle l’attention du Conseil général sur le fait que le régime d’habilitation doit être strictement défini. En particulier, seuls les agents en charge de la gestion des échanges avec la sécurité sociale doivent pouvoir accéder au NIR de la mère. 
Sur la durée de conservation
Les données nominatives des demandeurs sont conservées dans le traitement 6 ans, à compter de la date de naissance de l’enfant.
Sur la sécurité
La Commission a pris acte que la gestion des mots de passe individuels des membres du service de la PMI est conforme aux recommandations de la CNIL. 
Elle recommande que le traitement soit mis en œuvre sur un ordinateur dédié à la gestion des certificats de santé des jeunes enfants, implanté dans le service de la PMI. 
Compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes (noms, prénoms, dates et lieux de naissance, numéros identifiants, signes distinctifs) serait souhaitable.
Pour garantir la confidentialité des données en dehors du service de la PMI, la Commission rappelle que les obligations suivantes doivent être respectées :
tout échange dématérialisé de données sur la santé de la mère et de l’enfant en dehors du service PMI du Conseil général de la Gironde doit faire l’objet d’un chiffrement, à tout le moins de l’ensemble des données identifiantes de la mère et de l’enfant ; 
le traitement de gestion des certificats ne doit faire l’objet d’aucune interconnexion, d’aucun rapprochement ni d’aucune autre forme de mise en relation.
Enfin, la Commission recommande que la journalisation des données effectuée comporte une journalisation des contenus accédés et des opérations effectuées.
Sur les droits des personnes
L’information des personnes (droits d’accès, de rectification et d’opposition) s’effectuera par deux moyens : des mentions légales sur le formulaire de saisie des données ainsi que des mentions mises à disposition sur le site Internet du Conseil général de la Gironde. 
La présidente,
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la route ; 
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée, relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération n° 2006-188 du 6 juillet 2006 portant autorisation unique de mise en œuvre de traitements automatisés de données à caractère personnel relatifs à la gestion du contentieux lié au recouvrement des contraventions au code de la route et à l’identification des conducteurs dans le cadre du système de contrôle automatisé des infractions au code de la route (AU-010) ;
Sur le rapport de M. Jean-François CARREZ, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société CARGLASS SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité le recouvrement des contraventions routières, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
La société CARGLASS SAS
Finalités
Le traitement a pour objet la gestion et l’imputation des infractions routières liées à l’utilisation des véhicules mis à disposition des employés de la société CARGLASS SAS. Dès lors, le traitement présenté s’inscrit dans le cadre des dispositions de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sureté. 
Caractéristiques particulières du traitement
La société CARGLASS met à disposition de ses employés des véhicules loués (via des contrats de leasing ou de location longue durée). Elle n’est donc pas titulaire du certificat d’immatriculation desdits véhicules.
Catégorie de données traitées
Les catégories de données traitées sont : 
les données d’identification de l’employé conducteur ;
les données relatives à sa vie professionnelle ;
les données relatives aux infractions ;
les données de connexion au logiciel et au système d’information.
Destinataires
Sont destinataires des données :
les personnes habilitées de la Direction développement, sécurité et audit qualité, auquel appartient le responsable de la gestion du parc automobile ;
les personnes habilitées des services chargés de la gestion du personnel.
Mesures de sécurité
Au titre des mesures de sécurité, est notamment mise en place une traçabilité des consultations et modifications des données.
Information et droit d’accès 
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée en août 2004, par une mention sur un formulaire et via la charte informatique.Les droits d’accès et de rectification s’exerceront auprès de la Direction développement, sécurité et audit qualité – 107 Boulevard de la Mission Marchand – 92411 COURBEVOIE CEDEX.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1535571)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu la demande d’autorisation, présentée par la société ROBERT HALF, le 3 septembre 2011, portant sur un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Emmanuel de GIVRY, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La société ROBERT HALF, leader du recrutement de professionnels et du conseil, a déposé un dossier de demande d’autorisation pour la mise en œuvre d’un dispositif d’alerte professionnelle permettant aux salariés et aux candidats à un emploi de signaler des faits de discriminations dont ils pensent être victimes.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe que la société ROBERT HALF n’est soumise à aucune disposition législative ou réglementaire imposant la mise en place d’un dispositif d’alerte professionnelle. En effet, le dispositif est limité aux seules alertes dans le domaine de la discrimination.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La société ROBERT HALF souhaite adhérer au « label diversité » et envisage, dans ce cadre, de mettre en place un dispositif d’alerte professionnelle dédié à la lutte contre les discriminations et permettant aux personnes concernées de saisir directement le référent diversité, via une adresse mail referentdiversite@rhi.net », de toutes questions, suggestions ou plaintes sur des faits dont elles auraient été victimes ou témoins.
Le « label diversité » a été créé par le décret n°2008-1344 du 17 décembre 2008 et s’inscrit dans la politique gouvernementale de prévention des discriminations et de promotion de la diversité. Le Ministère de l’intérieur, qui a repris les attributions de l’ancien Ministère de l’immigration et de l’intégration, est désormais responsable de sa mise en œuvre en collaboration avec l’AFNOR Certification. Ce label a pour objectifs d’une part, de promouvoir la diversité et la prévention des discriminations et d’autre part, de valoriser les meilleures pratiques en matière de recrutement et d’évolution professionnelle au sein des organismes. 
Le cahier des charges de l’AFNOR préconise notamment la mise en place d’outils permettant d’« identifier les plaintes et réclamations internes ou externes » et, de manière générale, d’assurer la traçabilité des signalements.
La Commission relève que le dispositif présenté s’inscrit dans le cadre des textes internationaux, européens et nationaux afférents à la prévention des discriminations, à l’égalité des chances et à la promotion de la diversité dans le domaine de la gestion des ressources humaines.
Elle constate que les faits susceptibles d’être recueillis dans le cadre de ce dispositif sont strictement limités aux alertes relatives à la discrimination. 
Il n’est pas fait appel à un prestataire externe pour le recueil et la gestion des alertes. Un référent « diversité » est en charge du traitement des alertes au sein de la société.
La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés, notamment les instances représentatives du personnel qui sont habilitées par le Code du travail à recueillir les réclamations des salariés.
Un projet a été soumis aux représentants du personnel qui ont émis un avis favorable à la mise en place du dispositif d’alerte professionnelle.
La Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées. 
En l’espèce, elle constate que le dispositif ne permet pas d’émettre des signalements anonymes. L’émetteur de l’alerte doit nécessairement s’identifier. Son identité est par la suite traitée de façon confidentielle par les personnes chargées du recueil des alertes.
La Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires. 
Compte tenu de ce qui précède, elle estime que le traitement envisagé est conforme l’article 6-3° de la loi du 6 janvier 1978 modifiée.
L’information des personnes est assurée via la diffusion d’une note d’information. La personne éventuellement mise en cause sera informée dès l’enregistrement des données la concernant. 
Les droits d’accès et de rectification s’exercent auprès du référent « diversité » soit par courrier, soit par l’envoi d’un message électronique à l’adresse  « referentdiversite@rhi.net ». 
Les catégories de données à caractère personnel enregistrées sont relatives à l’identité, l’adresse mail de l’émetteur de l’alerte, les faits signalés, les éléments recueillis dans le cadre de la vérification de ces faits, le compte rendu des opérations de vérification et les suites données à l’alerte.
Le destinataire des informations est le référent « diversité » qui aura seul accès aux mails envoyés à l’adresse électronique dédiée aux alertes.
Les mesures de sécurité sont prises afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès. L’accès au compte de messagerie électronique se fera par un identifiant et un mot de passe confidentiel et personnel.
Enfin, au regard de la sensibilité des données collectées, la Commission rappelle d’une part, l’importance pour les membres de la direction de la diversité et de l’égalité des chances  de respecter l’obligation de confidentialité et les finalités pour lesquelles les données sont collectées et d’autre part, de se conformer aux durées de conservation des données prévues à l’article 6 de la délibération de la Commission n°2005-305 du 8 décembre 2005 (AU-004).
Dans ces conditions, la Commission autorise la société ROBERT HALF à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.
La Présidente,
                                                                                     Isabelle FALQUE PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique AU-004 de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu la demande d’autorisation, présentée par la société AGGREKO FRANCE SARL, le 3 novembre 2011, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Emmanuel de GIVRY, commissaire et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :