AgentPublic/cnil huggingface dataset:
Le responsable de traitement est l’Etablissement de Service et d’Aide par le Travail (ESAT) du Conte, 369 rue de la ferme du Conte, 40006, Mont-de-Marsan.Il s’agit d’un établissement social et médico-social au sens de l’article L. 312-1 du Code de l’action sociale et des familles.
Sur la finalité
La finalité du présent traitement est la gestion des dossiers des usagers accompagnés par l’établissement.Ces dossiers sont informatisés afin de favoriser la communication au sein de l’établissement.La Commission considère la finalité poursuivie comme déterminée, légitime et explicite. La Commission estime qu’il y lieu de faire application des dispositions des articles 25-I-6° et 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données portant sur le numéro de sécurité sociale (NIR), et les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives à : 
à leur identité (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à leur  vie personnelle (habitudes de vie, situation familiale) ;
à leur vie professionnelle (CV, situation professionnelle, scolarité et formation) ;
à leur situation économique et financière (revenus) ;
à leur numéro de sécurité sociale (NIR)
à leurs difficultés sociales (situation sociale de la famille et difficultés relationnelles au sein de la famille) ;
à leur santé (données relatives aux soins, situations ou comportements à risques) ;
Les numéros de sécurité sociale ainsi que les données relatives à la santé sont collectés, après le recueil du consentement exprès des personnes concernées.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires des données sont les membres de l’établissement ainsi que la Maison Des Personnes Handicapées et certains partenaires institutionnels (foyers, autres ESAT).Cette liste de destinataires n’appelle pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée via le règlement de fonctionnement et la charte des droits et libertés remis et expliqués à chaque usager.Les droits d’accès et de rectification s’exercent auprès de l’ESAT du Conte, 369 rue de la ferme du Conte, 40006, Mont-de-Marsan.Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes.
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe, renouvelés tous les six mois, constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres ou des caractères spéciaux.Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs du présent traitement.Le traitement n’est accessible que sur un réseau interne privé, ce qui offre une garantie quant à la sécurité des données y transitant. Le traitement ne donne pas lieu à des échanges de données sur internet ni à des échanges de supports numériques ou analogiques.Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier l’utilisateur à l’origine d’une opération, pour être en mesure de détecter a posteriori d’éventuelles opérations frauduleuses ou non souhaitées. Les données de traçabilité doivent être conservées six mois dans des conditions permettant de garantir leur intégrité et leur confidentialité et une procédure opérationnelle doit en définir les modalités d’accès.Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée n’excédant pas 3 ans après la dernière aide ou le dernier contact avec l’usager.A l’issue de cette durée les données sont supprimées, sauf disposition légale ou réglementaire contraires.Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’ESAT du Conte à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation  n°1654305)
La Commission nationale de l'informatique et des libertés, 
Saisie conjointement par le ministère des affaires sociales et de la santé, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative d’une demande d’autorisation portant sur la mise en œuvre d’un traitement automatisé de données à caractère personnel concernant une cellule d’écoute et de traitement des signalements de discriminations dénommée « Cellule d’écoute et d’alerte »
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU004), telle que modifiée le 14 octobre 2010 ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire et M Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le ministère des affaires sociales et de la santé, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative ont conjointement saisi la CNIL d’une demande d’autorisation pour la mise en œuvre d’un dispositif de traitement de données à caractère personnel dénommé « Cellule d’écoute et d’alerte ». Ce dispositif permet aux agents de signaler des faits de discriminations dont ils pensent être victimes ou dont ils sont témoins.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire. 
Elle rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. 
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par l’autorisation unique précitée s’agissant du fondement juridique et du champ d’application du dispositif d’alerte. 
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Sur la détermination du responsable de traitement
L’article 3 de la loi du 6 janvier 1978 modifiée dispose que le responsable d’un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l’autorité publique, le service ou l’organisme qui détermine ses finalités et ses moyens.
Dans le cadre de l’instruction de ce dossier, il a été précisé que le directeur de l’administration générale et de la modernisation des services (DAGEMO) du ministère du travail était désigné en tant que responsable de traitement pour l’ensemble du périmètre des ministères chargés des affaires sociales. 
Sur la finalité et le champ d’application du dispositif
La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
En l’espèce, le dispositif est limité aux seules alertes dans le domaine de la discrimination et du « harcèlement discriminatoire » au sens du paragraphe 1 de l’article 1er de la  loi n° 2008-496 du 27 mai 2008 portant diverses dispositions d'adaptation au droit communautaire dans le domaine de la lutte contre les discriminations.
Par ailleurs, les ministères des affaires sociales ont adhéré au « label diversité » et souhaitent, dans ce cadre, mettre en place un dispositif d’alerte professionnelle dédié à la lutte contre les discriminations, prenant la forme d’une structure externe d’écoute et de traitements des signalements reçus.
Le « label diversité » a été créé par le décret n°2008-1344 du 17 décembre 2008 et s’inscrit dans la politique gouvernementale de prévention des discriminations et de promotion de la diversité. Le ministère de l’intérieur, qui a repris les attributions de l’ancien ministère de l’immigration et de l’intégration, est désormais responsable de sa mise en œuvre en collaboration avec l’AFNOR Certification. Ce label a pour objectifs d’une part, de promouvoir la diversité et la prévention des discriminations et d’autre part, de valoriser les meilleures pratiques en matière de recrutement et d’évolution professionnelle au sein des organismes. 
Le cahier des charges de l’AFNOR préconise notamment la mise en place d’outils permettant d’« identifier les plaintes et réclamations internes ou externes » et, de manière générale, d’assurer la traçabilité des signalements.
La Commission relève que le dispositif présenté s’inscrit dans le cadre des textes internationaux, européens et nationaux afférents à la prévention des discriminations, à l’égalité des chances et à la promotion de la diversité dans le domaine de la gestion des ressources humaines.
Elle constate que les faits susceptibles d’être recueillis dans le cadre de ce dispositif sont strictement limités aux alertes relatives à la discrimination et aux « harcèlements discriminatoires ». 
La Commission estime que le dispositif d’alerte qui lui est présenté est limité dans son champ et répond à l’intérêt légitime du responsable du traitement. 
Sur les modalités de signalement
Le dispositif d’alerte dédié aux discriminations est ouvert aux agents du ministère des affaires sociales et de la santé, du ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et du ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative.  Il est également ouvert aux candidats aux concours et examens, dont la procédure a pris fin depuis trois mois au plus, ainsi qu’aux agents en démission ou retraite depuis six mois au plus.  
Seules les personnes mentionnées ci-dessus sont susceptibles de signaler des faits de discriminations dont ils pensent être victimes ou dont ils sont témoins.
L’alerte est traitée par un prestataire extérieur, la Fondation Agir Contre l’Exclusion (FACE).
La Fondation Agir Contre l’Exclusion a pour objectifs de prévenir et lutter contre toutes les formes d'exclusion, de discrimination et de pauvreté (emploi, éducation, consommation, santé, logement, fracture numérique, citoyenneté) en mobilisant les entreprises afin de favoriser l'innovation sociale et d'apporter un soutien actif à des initiatives locales de lutte contre les exclusions. La FACE est une Fondation Reconnue d'Utilité Publique.
Les personnes concernées peuvent saisir la cellule d’écoute et de signalement via une ligne téléphonique dédiée. Toutes les alertes sont réceptionnées par le prestataire, la FACE. La 1ère prise de contact téléphonique doit être complétée par un échange écrit  pour recueillir l’accord de la victime avant la saisine de son employeur.
Sur le traitement de l’identité de l’émetteur de l’alerte
La Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées. 
Le dispositif soumis par les ministères n’est pas conçu pour permettre des signalements anonymes. L’émetteur d’un signalement doit nécessairement s’identifier. Son identité est par la suite traitée de façon confidentielle par les personnes chargées du recueil des alertes.
La Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires. 
Compte tenu de ce qui précède, elle estime que le traitement envisagé est conforme à l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur l’information des personnes 
L’information générale est assurée par les ministères des affaires sociales au moyen d’une instruction aux chefs de service et d’un courriel complété par un formulaire « questions-réponses » adressé à l’ensemble des agents lors de l’ouverture de la cellule. Une lettre d’information sera également adressée aux agents au moment de leur départ à la retraite ainsi qu’aux agents en démission. Cette information figurera également dans le courriel adressé par la cellule aux plaignants. 
La personne éventuellement mise en cause est informée dès l'enregistrement des données la concernant.
Si le donneur d’alerte utilise le dispositif en qualité de témoin, il devra en informer préalablement la personne victime de discrimination et recueillir son accord à la poursuite de l’instruction du signalement et à la saisine de son employeur. 
La Commission prend acte que le projet a été présenté en comités techniques ministériels et en CHSCT. Les organisations syndicales ont également été informées et consultées.
Sur les catégories de données à caractère personnel enregistrées
Sont collectées ou susceptibles d’être collectées les informations relatives à l’identité de la victime, à ses date et lieu de naissance, à sa situation professionnelle, à l’emploi occupé, à son adresse électronique personnelle, aux données de santé et de soins, aux origines raciales et ethniques, aux opinions politiques, philosophiques et religieuses, à l’appartenance syndicale et à la vie sexuelle.
Votre rapporteur précise que l’ensemble de ces informations n’ont pas vocation à être systématiquement recueillies. 
Si la collecte des informations « sensibles » au sens de l’article 8 de la loi du 6 janvier 1978 modifiée est nécessaire, l’administration s’est néanmoins engagée à demander à son prestataire d’avoir recours à une grille listant les critères de discriminations prohibés par loi, sous la forme de case à cocher. Ce n’est que lorsque le contexte de la discrimination doit être explicité que cette grille sera complétée par des informations factuelles et strictement nécessaires à l’instruction du signalement.
L’article 8-II-1° de la loi prévoit que, lorsque la finalité du traitement l’exige, les données sensibles peuvent être collectées et traitées après recueil du consentement exprès de la personne concernée.
La Commission relève que la victime doit systématiquement donner son accord au traitement de ses données avant la communication du signalement à son employeur. Le recueil du consentement se fait par écrit et doit toujours être explicite.
Les informations recueillies seront complétées par une description objective des faits signalés par la victime, les éléments recueillis dans le cadre de la vérification de ces faits, le compte rendu des opérations de vérification et les suites données à l’alerte.
Enfin, au regard de la sensibilité des données collectées, la Commission rappelle l’obligation renforcée de confidentialité à laquelle sont soumises les personnes chargées du recueil et du traitement des données.
Sur les droits des personnes
Les droits d’accès et de rectification s’exercent directement auprès du responsable de la cellule d’écoute et de traitement des alertes par mail ou par courrier adressé à la Cellule d’écoute des ministères des affaires sociales (CEMCAS) – Fondation Agir Contre l’Exclusion (FACE) – 29 rue du Colisée à PARIS.
Sur les destinataires des informations 
Les destinataires de tout ou partie des données à caractère personnel sont, dans la limite de leurs attributions, les personnes en charge du traitement des plaintes au sein de la Fondation Agir Contre l’Exclusion ainsi que l’entité employeur de la victime, à savoir le responsable d’une direction en capacité de mettre fin à une situation de discrimination. 
Les ministères transmettent au prestataire les éléments nécessaires lui permettant d’identifier le responsable en fonction de la nature de la discrimination et des faits portés à sa connaissance.
Sur la durée de conservation
La Commission relève que les durées de conservation des données sont conformes à celles prévues à l’article 6 de la délibération de la Commission n°2005-305 du 8 décembre 2005 (AU-004).
Sur les sécurités
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracées.
Les mesures de sécurité envisagées n’appellent pas d’observations particulières.
Dans ces conditions, la Commission autorise le ministère des affaires sociales et de la santé, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative à mettre en œuvre un traitement de données ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle dédié aux signalements de discrimination.
La Présidente 
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1426129)
La Commission nationale de l’informatique et des libertés, 
Saisie par la société GROUPAMA d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2005/60/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme ;
Vu la directive 2006/70/CE de la Commission du 1er août 2006 portant mesures de mise en œuvre de la directive 2005/60/CE du Parlement européen et du Conseil pour ce qui concerne la définition des « personnes politiquement exposées » et les conditions techniques de l’application d’obligations simplifiées de vigilance à l’égard de la clientèle ainsi que de l’exemption au motif d’une activité financière exercée à titre occasionnel ou à une échelle très limitée ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, notamment le 4° du I et le II de l’article 25 ;
Vu le code monétaire et financier (CMF), notamment ses articles L. 561-1 à L. 562-11, L. 574-1, L. 574-2, R. 562-1, R. 562-2, R. 563-1 à R. 563-3 et R. 564-1 ;
Vu l’ordonnance n° 2009-104 du 30 janvier 2009 relative à la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme, ratifiée par la loi n° 2009-526 du 12 mai 2009 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n° 2009-1087 du 2 septembre 2009 relatif aux obligations de vigilance et de déclaration pour la prévention de l’utilisation du système financier aux fins de blanchiment de capitaux et de financement du terrorisme ;
Vu le décret n° 2012-1125 du 3 octobre 2012 relatif aux obligations de vigilance et de déclaration pour la prévention de l'utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme portant modification des articles R. 561-12, R. 561-16 et R. 561-20 du Code monétaire et financier ;
Vu l’arrêté du 2 septembre 2009 pris en application de l’article R. 561-12 du code monétaire et financier et définissant des éléments d’information liés à la connaissance du client et de la relation d’affaire aux fins d’évaluation des risques de blanchiment de capitaux et de financement du terrorisme ;
Vu la délibération n° 2005-297 du 1er décembre 2005 portant autorisation unique de certains traitements de données à caractère personnel mis en œuvre dans des organismes financiers au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme, modifiée par la délibération n° 2007-060 du 25 avril 2007 et la délibération n° 2011-180 du 16 juin 2011 ;
Vu la demande d’autorisation déposée par la société GROUPAMA pour le compte des sociétés du Groupe GROUPAMA, relative à un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme ;
Sur la proposition de M. Jean-Paul AMOUDRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La société GROUPAMA.
Sur la finalité
la société GROUPAMA  a saisi la Commission d’une demande d’autorisation relative aux traitements automatisés de données à caractère personnel mis en œuvre par les différentes entités du Groupe GROUPAMA pour répondre aux obligations légales en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme, ainsi que de gel des avoirs.Les traitements automatisés utilisés par les établissements du secteur bancaire dans le cadre de la lutte contre le blanchiment de capitaux et le financement du terrorisme visent notamment à détecter les transactions financières, réalisées par leurs clients, qui sont susceptibles d’être qualifiées d’infraction de blanchiment ou de financement du terrorisme par les autorités compétentes et qui, de ce fait, doivent, le cas échéant après collecte de renseignements complémentaires et analyse manuelle des éléments du dossier, donner lieu à l’envoi d’une déclaration à la cellule de renseignement financier nationale TRACFIN.L’identification de telles opérations, pour une large part sur la base de critères intégrés dans les traitements automatisés des établissements concernés, peut conduire ces derniers à souhaiter, pour des raisons de prudence, rompre toute relation contractuelle avec certains des clients qui en font l’objet. Ces traitements, peuvent ainsi, du fait de leur portée, conduire à l’exclusion de personnes du bénéfice d’un contrat en l’absence de toute disposition légale prévoyant la mise en œuvre d’une telle exclusion.Ce