AgentPublic/cnil huggingface dataset:
d'arrêté nécessite la suppression totale et définitive des données au terme du délai de huit jours ou d'un mois, selon les cas.   En conséquence, la Commission demande la mise en oeuvre d'un véritable procédé d'effacement automatique des données à l'expiration des délais autorisés.   - Enfin, la Commission souhaite souligner que la mise en oeuvre des traitements décrits, compte tenu des risques potentiels qu'ils comportent au regard de la protection des libertés individuelles et de la vie privée, nécessite des procédures de contrôle a posteriori de l'utilisation des données collectées et enregistrées rigoureuses aux fins de prévenir et empêcher tout traitement ultérieur pour d'autres finalités que celles inscrites dans l'article 26 de la loi du 18 mars 2003, modifié par la loi 23 janvier 2006.   Le président Alex TURK.
La Commission nationale de l'informatique et des libertés,   Saisie le 7 décembre 2006, d'un traitement ayant pour finalité la gestion des activités contentieuses et le traitement des litiges ;   Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-3° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Après avoir entendu M. Jean-Pierre de LONGEVIALLE, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du gouvernement, en ses observations.
Formule les observations suivantes :   La caisse primaire d'assurance maladie Pau-Pyrénées a saisi la Commission nationale de l'informatique et des libertés d'un dossier relatif à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la gestion des activités contentieuses et le traitement des litiges.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées.   Ce traitement permettra l'instruction et la gestion des dossiers contentieux, le suivi de la procédure et des litiges, la rédaction de mémoires, l'information des parties, l'édition de courriers, l'exécution des décisions, la clôture et l'archivage des dossiers et le suivi de l'activité.   Des statistiques pourront être effectuées à partir de données préalablement anonymisées.   Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 s'exercera auprès du service chargé du contentieux.   Les catégories de données à caractère personnel traitées seront l'identité des assurés et leur numéro de sécurité sociale, l'identité des professionnels de santé et de toutes autres personnes concernées par l'action contentieuse, les mémoires présentés,
les infractions et condamnations prononcées, le tableau de bord d'activité du service.   Elles seront conservées jusqu'à épuisement des voies de recours ou deux ans après l'exécution de la sanction.  Elles seront ensuite anonymisées à des fins de statistiques internes.  Une liste récapitulative des évènements du dossier rappelant les principales étapes de la procédure sera conservée pendant 5 ans.   Les destinataires des informations seront les personnes habilitées du service chargé du contentieux et de l'exécution des décisions au sein de la CPAM dont l'accès sera subordonné à l'utilisation d'une carte à puce et d'un code personnel permettant leur identification et leur authentification.
Dans ces conditions, la Commission autorise la caisse primaire d'assurance maladie Pau-Pyrénées à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la gestion des activités contentieuses et le traitement des litiges.   Le Président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 9-10 et 25-31 ;   Vu le Code de l'action sociale et des familles et notamment ses articles L. 221-1, L. 311-1, L. 312-1 ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par la Fondation "Les orphelins apprentis d'Auteuil" d'un traitement de données à caractère personnel ayant pour finalité principale le suivi des incidents concernant les personnes accueillies dans ses établissements afin d'assurer la prévention des incidents et la protection des jeunes accueillis ;   Après avoir entendu Mme Anne DEBET, commissaire en son rapport et Mme Pascale COMPAGNIE, Commissaire
du Gouvernement en ses observations,
Formule les observations suivantes :   La Fondation "Les orphelins apprentis d'Auteuil" regroupe 160 établissements en France dont des maisons d'enfants à caractère social, des internats, des établissements scolaires (écoles, collèges, lycées) et de formation professionnelle, des structures d'accompagnement et d'insertion.  Ces établissements sont directement rattachés à la Fondation.   Le 11 octobre 2006, cette Fondation a adressé à la CNIL un dossier de formalités préalables relatif à la mise en eeuvre d'un traitement automatisé de données à caractère personnel ayant pour finalité le suivi des incidents concernant les personnes accueillies dans ses établissements afin d'assurer la prévention des incidents et la protection des jeunes pris en charge.   La Fondation, grâce à un outil informatique appelé Observ.toire entend recenser les données relatives à un incident subi ou provoqué par un jeune accueilli dans l'un de ses établissements aux fins :   - d'informer de ces faits les autorités administratives ou judiciaires compétentes ainsi que les familles ;   - de prendre des mesures de protection des jeunes et développer des politiques de prévention sur la base d'une exploitation statistique et anonyme des incidents ;   - d'assurer le suivi des procédures de signalement.   L'incident sera en outre retranscrit dans une fiche de déclaration appelée "procédure incidents - accidents - infractions graves".   A ce titre, la Commission considère que le dispositif présenté porte
sur des données relatives à des infractions, du moins en ce qui concerne les incidents les plus graves, dans la mesure où le rédacteur de la fiche de déclaration d'incident procède, de sa propre initiative, à une opération de qualification pénale des faits.   La Commission estime dans ces conditions qu'il y a lieu de faire application des dispositions de l'article 25-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.  Elle rappelle, par ailleurs, que l'article 9-1° de la loi du 6 janvier 1978 modifiée réserve la faculté de mettre en oeuvre des traitements relatifs à des infractions aux personnes morales gérant un service public et agissant dans le cadre de leurs attributions légales.
La Fondation "Les orphelins apprentis d'Auteuil", reconnue d'utilité publique par un décret du 19 juin 1929, a pour mission d'accueillir, de former, d'éduquer et d'insérer des jeunes de 2 à 21 ans en difficulté sociale et/ou familiale, conformément à l'article premier de ses statuts.   A ce titre, les établissements de la Fondation peuvent se voir confier par les services départementaux d'aide sociale à l'enfance des jeunes en difficulté sociale et/ou familiale dans les conditions définies à l'article L. 221-1 du code de l'action sociale et des familles.  Ainsi, la Fondation propose à ces jeunes un accompagnement scolaire et éducatif personnalisé et assure également une mission de placement des enfants par les familles dans le cadre d'un contrat avec l'Éducation nationale.   Elle peut également, conformément à l'article L. 221-1 5° du code précité, organiser le recueil des informations relatives aux mineurs maltraités et participer à la protection de ceux-ci, certains des établissements assurant de la prise en charge des mineurs au titre de l'assistance éducative.   La Commission considère, en conséquence et au regard des dispositions de l'article 9°-1 de la loi du 6 janvier 1978 modifiée, que la Fondation "Les orphelins apprentis d'Auteuil" est habilitée à procéder au suivi des incidents subis ou provoqués par un jeune pris en charge dans l'un de ses établissements.  Les catégories de données à caractère personnel enregistrées seront relatives :   - aux caractéristiques
de la fiche de signalement :  numéro de référence de la fiche, coordonnées de l'établissement émetteur de la fiche, date de transmission de la fiche, nom de la personne en contact avec le jeune, nom du responsable hiérarchique, nom du directeur d'établissement ;   - au jeune qui est victime et/ou à la personne qui est impliquée :  nom, prénom, date de naissance, type de placement ;   - aux incidents :  nature (atteinte aux biens, atteinte aux personnes, port d'arme, tentative de suicide, fugue) et caractéristiques (date, heure et lieu de l'incident) des faits ;   - aux suites internes et/ou externes données aux faits :  types de sanctions, mesures de protection, réorientation, SAMU, pompiers, intervention médicale, police, gendarmerie, signalement au Procureur, informations des services sociaux, main courante, dépôt de plainte.   Une note à l'attention des personnels des établissements de la Fondation devra souligner que les informations contenues dans les rubriques "précisions complémentaires sur les faits" figurant dans la fiche de signalement ne comporteront pas d'appréciations sur les personnes concernées.  Elle rappellera que les informations collectées à l'occasion d'un incident subi, ou provoqué, par un jeune doivent demeurer des informations strictement factuelles nécessaires à la compréhension des faits.   La Commission observe que la Fondation distingue les incidents selon leur gravité.  Seront considérées comme des incidents "sans conséquence", faisant l'objet
d'un enregistrement aux fins d'archivage immédiat, ceux n'entraînant pas d'une part la saisine de tiers extérieurs à l'établissement, à l'instar des services de police ou des autorités judiciaires, et d'autre part, le prononcé de sanctions disciplinaires.  Les autres incidents sont qualifiés de graves par la fondation et enregistrés dans le traitement.
La durée de conservation des données varie selon la nature des incidents :   - les incidents sans conséquence seront conservés dans la base archives jusqu'au départ de jeune de la fondation Auteuil ;   - les autres incidents seront conservés un an après le départ du jeune de l'établissement.  Cependant les informations relatives à un jeune impliqué dans un incident seront supprimées dès lors qu'il aura été mis hors de cause ;   - les informations relatives aux sanctions disciplinaires seront effacées un an après la notification de la décision de sanction.
Les destinataires des informations seront :   - les directeurs des établissements pour les dossiers des jeunes qui leur sont confiés ;   - les directeurs régionaux pour leur zone de compétence régionale ;   - la direction générale et les 2 membres de la cellule Observatoire au siège de la Fondation pour les incidents graves ;   - les directeurs régionaux, la direction général et la cellule observatoire pour les statistiques anonymisées portant sur les types d'incidents, leur périodicité et les suites leur étant données.   Les personnes accueillies et leurs représentants légaux seront informées de leurs droits par une mention dans le dossier d'admission du jeune dans l'établissement et par le biais d'une note d'information affichée dans chaque établissement.   Le droit d'accès, de rectification et d'opposition défini au chapitre V de la loi s'exercera auprès du Directeur d'établissement où est admis le jeune ayant provoqué ou subi l'incident.
   Dans ces conditions, la Commission autorise la Fondation "Les orphelins apprentis d'Auteuil" à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité principale le suivi des incidents concernant les personnes accueillis dans ses établissements afin d'assurer la prévention des incidents et la protection des jeunes accueillis.   Guy ROSIER Vice-Président Délégué   Le Président, Alex TURK
La Commission nationale de l'informatique et des libertés ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par la société Crown Worldwide SAS d'un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d'un dispositif d'alerte professionnelle ;   Après avoir entendu M. Hubert BOUCHET, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations.
Formule les observations suivantes :   Le 12 septembre 2006, la société Crown Worldwide SAS a adressé à la Commission nationale de l'informatique et des libertés une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la mise en place d'un système externe et limité d'alertes éthiques visant à permettre à tout salarié s'estimant être témoin ou victime d'une situation de harcèlement sexuel ou moral ou d'une discrimination, de la signaler à un prestataire extérieur chargé par la société Crown de mener les investigations.   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.   Il convient d'examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.   La Commission considère que les dispositifs d'alerte professionnelle
doivent être limités à un champ restreint aux domaines financier et comptable.   La Commission rappelle que, si elle admet que dans le cadre d'un dispositif d'alerte soient recueillis des faits graves ne relevant pas du strict domaine ne relevant pas des domaines financier et comptable lorsque l'intérêt vital de l'organisme concerné ou l'intégrité physique ou morale des employés est en jeu, elle estime que dans ces cas, le signalement de ces faits doit être réorienté vers les personnes compétentes au sein de l'entreprise concernée pour traiter ces faits, sans être exploité par les personnes gérant le dispositif d'alerte professionnelle.  En outre, l'organisation chargée du traitement des alertes devrait détruire ou archiver sans délai les données relatives à cette alerte.   La Commission relève encore qu'aucun texte ne prévoit expressément les garanties et conditions susceptibles d'être mises en oeuvre par les employeurs qui envisageraient l'utilisation d'un dispositif externe d'alerte professionnelle dont le seul objet serait le signalement de situations de harcèlement ou de discrimination.   Compte tenu de l'ensemble de ces éléments et de la sensibilité d'un tel dispositif, le traitement n'apparaît pas, en l'état actuel des textes, proportionné à l'objectif poursuivi.  En outre, le caractère adéquat, pertinent et non excessif des données collectées au regard des finalités ne peut être démontré à la Commission.
Dès lors, la Commission n'autorise pas, en l'état, la société Crown Worldwide SAS, sise 15 Avenue du Président Salvador Allende - 94400 Vitry Sur Seine, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d'un dispositif d'alerte professionnelle.   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés ;   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation, présentée par la société Kimberly-Clark SNC d'un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d'un dispositif d'alerte professionnelle ;   Après avoir entendu M. Hubert BOUCHET, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :   Le 7 avril 2006, la société Kimberly-Clark SNC a adressé à la Commission nationale de l'informatique et des libertés une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la mise en place d'une ligne d'alerte professionnelle permettant aux salariés de "signaler à leur employeur des comportements qu'ils estiment contraires à l'éthique ou qui ne respectent pas la législation".   La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-14° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.   Il convient d'examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.   La Commission considère que les dispositifs d'alerte professionnelle doivent être limités à un champ restreint aux domaines comptable, bancaire, financier et du contrôle des
comptes.   La Commission estime en conséquence que les dispositifs d'alerte professionnelle doivent être conçus comme uniquement complémentaires par rapport aux autres modes d'alerte dans l'entreprise.  Elle estime ainsi qu'afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d'alerte doit être limité dans son champ.   Or, en l'espèce, le dossier soumis à la CNIL par la société Kimberly-Clark SNC au soutien de sa demande d'autorisation indique clairement notamment d'une part que "le dispositif d'alerte n'a pas de champ d'application prédéterminé.  Il peut concerner des sujets relatifs à la finance, la comptabilité, l'éthique".  et fournit d'autre part une liste d'exemples de comportements pouvant être évoqués et traités par la ligne éthique tels que notamment : "(...) vol, usage ou vente de drogues illicites".   La Commission estime que l'absence de définition précise du champ du dispositif d'alerte soulève ainsi une difficulté de principe au regard de la loi, eu égard aux risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle voire personnelle des employés concernés.
Par ailleurs, la Commission considère que l'émetteur de l'alerte professionnelle doit s'identifier, son identité étant traitée de façon confidentielle par l'organisation chargée de la gestion des alertes.  Elle estime encore que l'alerte d'une personne qui souhaite rester anonyme ne peut être recueillie que par exception et qu'à condition que le traitement des alertes anonymes soit entouré de précautions particulières, telles qu'un examen préalable, par son premier destinataire, de l'opportunité de sa diffusion dans le cadre du dispositif.   La Commission estime en outre que l'organisme mettant en place un dispositif d'alerte professionnelle n'incite pas les personnes ayant vocation à utiliser le dispositif à le faire de manière anonyme et que la publicité faite sur l'existence du dispositif en tienne compte, la procédure devant au contraire être conçue de façon à ce que les employés s'identifient auprès de l'organisation chargée de la gestion des alertes.   Or en l'espèce, l'utilisation anonyme du dispositif d'alerte présenté par la société KimberlyClark SNC apparaît clairement sinon comme la modalité privilégiée de signalement, au mieux comme une modalité pouvant être utilisée indifféremment à celle où l'émetteur de l'alerte est identifié.   En outre, le dossier demeure incomplet sur de nombreux points tels que, notamment:  les modalités d'information des personnes concernées, la durée de conservation de données enregistrées, les mesures de sécurité, ainsi que les
modalités d'exercice des droits d'accès et de rectification.   Au vu de l'ensemble de ces éléments, le traitement pris dans son ensemble n'apparaît, en l'état, ni adapté ni proportionné à l'objectif poursuivi.  En outre, le caractère adéquat, pertinent et non excessif des données collectées au regard des finalités ne peut être démontré à la Commission.
Dès lors, la Commission n'autorise pas, en l'état, la société Kimberly-Clark SNC, sise 26 rue Armengaud - 92210 Saint-Cloud, à mettre en ceuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d'un dispositif d'alerte professionnelle.   Le président, Alex TURK.