AgentPublic/cnil huggingface dataset:
(Saisine n° 12001795) 
La Commission nationale de l’informatique et des libertés, 
Saisie par le cabinet HSC, le 4 janvier 2012, d’une demande de délivrance de label concernant sa formation intitulée « Correspondant Informatique et Libertés » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel 
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-François CARREZ, Commissaire, président du Comité de labellisation, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit :
Introduction ;
Statut du Correspondant Informatique et Libertés ;
Missions du Correspondant Informatique et Libertés ;
Veille du Correspondant Informatique et Libertés ;
Applications concrètes.
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.
Décide 
De la délivrance du label CNIL « formation » pour la formation intitulée «Correspondant Informatique et Libertés » du cabinet HSC. 
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité annuel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
(Saisines n° 11030313 et 12004881) 
La Commission nationale de l’informatique et des libertés, 
Saisie conjointement par Mme MOLE et le cabinet COMUNDI, le 27 janvier 2012, d’une demande de délivrance de label concernant leur formation intitulée « formation loi Informatique et Libertés - le régime juridique des traitements et des fichiers » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-315 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de formation tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-François CARREZ, Commissaire, président du Comité de labellisation, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
La formation, objet de la demande, se compose comme suit :
Les principaux changements issus de la réforme de la loi Informatique et Libertés
Les conditions d’utilisation des données à caractère personnel
L’utilisation des données dans le cadre du recrutement et de la gestion du personnel
Missions, pouvoirs et contrôles de la CNIL
Comment répondre en cas de plaintes des personnes concernées, mise en place d’une politique de prévention
La gestion internationale des données à caractère personnel
Illustration par des exemples précis et des cas concrets, discussions avec les apprenants, études de jurisprudences pénale, administrative et civile, et de la doctrine de la CNIL.
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que la formation présentée est conforme au référentiel auquel elle se rapporte.
Décide
De la délivrance du label CNIL « formation » pour la formation conjointe intitulée «formation loi Informatique et Libertés - le régime juridique des traitements et des fichiers» de Mme MOLE et du cabinet COMUNDI. 
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité annuel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
(Saisine n° 12003249) 
La Commission nationale de l’informatique et des libertés, 
Saisie par le cabinet HAAS, le 4 janvier 2012, d’une demande de délivrance de label concernant sa procédure d’audit intitulée « audit 'Informatique et libertés' » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-3° c) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2006-147 du 23 mai 2006 modifiée fixant le règlement intérieur de la CNIL, notamment ses articles 53 et suivants ;
Vu la délibération n° 2011-316 du 6 octobre 2011 portant adoption d’un référentiel pour la délivrance de labels en matière de procédure d’audit tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ;
Vu le dossier et ses compléments ;
Après avoir entendu M. Jean-François CARREZ, Commissaire, président du Comité de labellisation, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations
Formule les observations suivantes :
L’article 11-3° c) de la loi du 6 janvier 1978 modifiée dispose que la CNIL « délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel ».
Conformément à l’article 53-1 du règlement intérieur de la CNIL, la demande de label a fait l’objet d’une évaluation par le Comité de labellisation.
La Commission reconnaît que l’audit de traitements présenté est conforme au référentiel auquel il se rapporte.
Décide 
De la délivrance du label CNIL « audit de traitements » pour la procédure d’audit intitulée « audit 'Informatique et libertés' » du cabinet HAAS. 
Ce label est délivré pour une durée de trois ans conformément à l’article 53-11 du règlement intérieur de la Commission.
L’utilisation de la marque LABEL CNIL est soumise au respect du règlement d’usage de la marque collective.
L’organisme s’engage à fournir à la CNIL un bilan d’activité annuel.
La présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés ;
Saisie par la société SECURE NETWORKS COMMUNICATION d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’accès au système d’information de la société SECURE NETWORKS COMMUNICATION par ses salariés ;
Vu la Convention n°108, du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 25-I-8° ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Bernard Peyrat, commissaire et après avoir entendu Mme Elisabeth ROLIN, Commissaire du Gouvernement.
Formule les observations suivantes :
Sur la finalité
La société SECURE NETWORKS COMMUNICATION souhaite utiliser un dispositif biométrique de reconnaissance par frappe au clavier pour accéder à son système d’information par ses salariés. 
Sur les données traitées
Le dispositif concernera uniquement les salariés de la société SECURE NETWORKS COMMUNICATION.
Les catégories de données à caractère personnel enregistrées seront :
Nom, prénom ;
Le gabarit de la frappe au clavier ;
L’adresse IP.
Sur les destinataires
Le destinataire des informations sera, dans la limite de ses attributions et pour la poursuite de la finalité précitée, l’administrateur du dispositif de la société SECURE NETWORKS COMMUNICATION.
Sur l’information et le droit d’accès 
Les droits d’accès, de rectification et d’opposition s’exerceront, conformément à l’article 32, par courrier auprès de la SECURE NETWORKS COMMUNICATION, 8 RUE HONORE DE BALZAC, 37000 TOURS.
Sur les mesures de sécurité
Le dispositif biométrique s'appuie sur la variation de la durée séparant la frappe de deux touches du clavier d'un ordinateur pour la saisie d’un identifiant et d’un mot de passe d’une séquence de huit caractères au minimum chacun. Le contrôle d'accès s'effectuera par comparaison entre le gabarit de la frappe au clavier lors de la tentative d’accès au dispositif par le salarié et le gabarit de sa frappe au clavier préalablement enregistré. La Commission rappelle qu’elle est particulièrement vigilante sur le risque de dispersion des données biométriques, que son origine en soit accidentelle ou malveillante. Cependant, la Commission constate que plusieurs mesures de sécurité seront mises en œuvre afin de garantir la protection des données. Les gabarits biométriques des personnes enrôlées seront chiffrés par l’intermédiaire d’un algorithme public réputé fort. La clef de chiffrement utilisée sera spécifique à la société SECURE NETWORKS COMMUNICATION. La base de données qui contient les gabarits biométriques chiffrés sera hébergée par la société SECURE NETWORKS COMMUNICATION et non par un prestataire. La société SECURE NETWORKS COMMUNICATION s’assurera qu’aucun logiciel ou dispositif matériel permettant d’enregistrer puis de simuler les caractéristiques de la frappe clavier d’une personne, à son insu notamment, ne pourra être installé sur le poste informatique. 
Sur les autres caractéristiques du traitement
Les données biométriques des salariés seront supprimées à l’issue de leurs relations de travail avec la société SECURE NETWORK COMMUNICATION. Les adresses IP seront conservées six mois à compter du jour de la connexion au dispositif.
Autorise, conformément à la présente délibération, la société SECURE NETWORKS COMMUNICATION à mettre en œuvre le traitement susmentionné.
La Présidente,
Isabelle FALQUE-PIERROTIN
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 25-I-5° ; 
Vu la loi n° 2006-872 du 13 juillet 2006 modifiée portant engagement national pour le logement ;
Vu l’ordonnance n° 2005-1527 du 8 décembre 2005 modifiée relative au permis de construire et aux autorisations d’urbanisme ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié  pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés;
Vu le décret n° 2007-18 du 5 janvier 2007 pris pour l’application de l’ordonnance n° 2005-1527 du 8 décembre 2005 relative au permis de construire et aux autorisations d’urbanisme ;
Vu la délibération 2009-117 du 27 février 2009 autorisant la mise en œuvre par le ministère de l’écologie, du développement durable et de l’aménagement du territoire d’un traitement de données à caractère personnel ayant pour finalité de faciliter l’instruction des demandes d’autorisations d’urbanisme et de permis de construire, dénommé « ADS 2007 » (Application Droit des Sols) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Gaëtan Gorce, commissaire et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes
La Commission a délivré au ministère de l’écologie, du développement durable et de l’aménagement du territoire le 26 février 2009, une autorisation portant sur un traitement automatisé de données à caractère personnel ayant pour finalité de faciliter l’instruction des demandes d’autorisations d’urbanisme et de permis de construire, dénommé « ADS 2007 » (Application Droit des Sols) ;
La Commission est saisie d’une demande de modification du traitement visant à améliorer l’identité des débiteurs et à assurer la qualité des fichiers d’émission de titres transmis aux comptables. Le processus de recouvrement sera ainsi réalisé en aval avec de meilleures garanties pour le débiteur.
L’ensemble des tiers débiteurs doivent être identifiés de manière fiable afin de sécuriser l’adressage des courriers, la confidentialité des informations transmises au redevable et limiter les poursuites à tort.
Les données suivantes seront ajoutées à l’application ADS 2007 : 
Date de naissance (au format jj/mm/aaaa) 
Lieu de naissance commune ou pays (au format texte)
Numéro de département du lieu de naissance (ou 999 pour un pays étranger)
Elles seront collectées depuis les formulaires de demandes d’autorisation d’urbanisme ou de permis de construire.
Ces données seront transmises vers les applications :
CHORUS (application informatique pour la gestion budgétaire, financière et comptable de l’Etat) 
REP (application de la direction générale des finances publiques de suivi du recouvrement).
La Commission prend acte que ces nouvelles données, objet de la modification du traitement ne seront pas transmises vers les applications : 
-   RTU (recouvrement des taxes d’urbanisme) qui permet aux agents habilités du trésor de recouvrer  les taxes d’urbanisme ;
-  SITADEL (système d’information et de traitement automatisé des données élémentaires sur les logements et les locaux) destiné à répondre aux besoins statistiques en matière de construction.
Le reste du traitement demeure inchangé.
La Commission considère que ces modifications n’appellent pas d’observation particulière.
En conséquence, la Commission autorise les modifications sollicitées par le ministère en charge du logement et de l'urbanisme pour la mise en œuvre de son traitement d’instruction des demandes d’autorisations d’urbanisme et de permis de construire, dénommé « ADS  2007 » (Application Droit des Sols), dans les conditions évoquées ci-dessus.
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1554539)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n°108, du 28 janvier 1981, du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L.2111-2, L.2112-2, L.2132-2 et L.2132-3 ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment ses articles 8-IV et 25-I-1°;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur GOSSELIN, commissaire et après avoir entendu les observations de Mme ROLIN, commissaire du Gouvernement ; 
Sur le responsable du traitement
Conseil général du Val d’Oise
Sur les finalités
La Commission a été saisie par le Conseil général du Val d’Oise d’une demande d’autorisation de mise en œuvre d’un traitement de données ayant pour finalité la gestion et le suivi des certificats de santé du jeune enfant, des avis de grossesse, des actes de naissance et de décès des enfants de moins de 6 ans. La Commission considère qu’il y a lieu de faire application des articles 8-IV et 25-I, 1° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation les traitements de données de santé qui sont justifiés, comme en l’espèce, par un intérêt de santé publique. Ce traitement de données est mis en œuvre dans le service de protection maternelle et infantile (PMI) du Département du Val d’Oise.  L’objet du traitement est, pour le service de la PMI de gérer les certificats de santé du très jeune enfant (8ème jour, 9ème et 24ème mois), ainsi que les avis de grossesse, actes de naissance, de décès des enfants de moins de 6 ans. Il répond également à l’obligation des officiers d’Etat civil de transmettre une copie des actes de naissance et de décès des jeunes enfants de moins de 6 ans à la PMI. La Commission prend acte que ce traitement ne permet d’établir aucune présélection des enfants à risque susceptibles d’un suivi individuel.  Les finalités poursuivies par ce traitement de données à caractère personnel poursuivent un objectif de santé publique. 
Sur les données traitées
Concernant les femmes enceintes et les enfants, les données traitées correspondent à des données :
d’identification (nom, prénom, date et lieu de naissance), 
relatives à la situation familiale de la mère ;
relatives à la situation professionnelle/scolaire de celle-ci ; 
relatives à la santé de la mère et de l’enfant (pathologies, antécédents familiaux, soins, comportements à risque tels que consommation d’alcool et de tabac). 
L’ensemble des informations traitées proviennent des actes de naissance envoyés par les services de l’Etat civil, ainsi que des certificats de santé, des avis de grossesse et certificats de décès. 
La Commission prend acte de ce que les avis de grossesse comportent le NIR, qui ne sera pas reproduit ni traité dans le cadre de ce traitement de données à caractère personnel. Une information et une sensibilisation des personnes en charge du renseignement du fichier permettraient toute erreur de saisie du NIR des personnes. 
La Commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités du traitement.
Sur les destinataires
Les catégories de destinataires habilités à recevoir communication des données traitées sont exclusivement des personnels de la PMI, à raison de leurs attributions respectives à savoir : 
les médecins, 
les sages-femmes, 
les puéricultrices, 
les secrétaires dans la limite de leurs habilitations et ce sous la responsabilité d’un professionnel de santé de la PMI.
Compte tenu du caractère sensible des données, la Commission appelle l’attention du Conseil général sur le fait que le régime d’habilitation doit être strictement défini. 
Sur l’information et le droit d’accès 
L’information des personnes (droits d’accès, de rectification et d’opposition) s’effectuera par des mentions légales sur le formulaire de saisie des données. En cela, la Commission prend acte de ce que le Conseil général du Val d’Oise répond aux exigences de l’article 32 de la loi n°78-17 du 6 janvier 1978 modifiée. 
Sur les mesures de sécurité
La Commission a pris acte que la gestion des mots de passe individuels des membres du service de la PMI est conforme aux recommandations de la CNIL. En effet, un mot de passe composé de 8 caractères alphanumériques, modifié tous les 6 mois et un verrouillage du poste en cas de 5 échecs consécutifs sont organisés. 
Elle recommande que le traitement soit mis en œuvre sur un ordinateur dédié à la gestion des certificats de santé des jeunes enfants, implanté dans le service de la PMI. 
Compte tenu de la sensibilité des données traitées, un chiffrement des données identifiantes serait souhaitable.
Pour garantir la confidentialité des données en dehors du service de la PMI, la Commission rappelle que les obligations suivantes doivent être respectées :
tout échange dématérialisé de données sur la santé de la mère et de l’enfant en dehors du service PMI du Conseil général du Val d’Oise doit faire l’objet d’un chiffrement, à tout le moins de l’ensemble des données identifiantes de la mère et de l’enfant ; 
le traitement de gestion des certificats ne doit faire l’objet d’aucune interconnexion, d’aucun rapprochement ni d’aucune autre forme de mise en relation.
Enfin, la Commission recommande que la journalisation des données effectuée comporte une journalisation des contenus accédés et des opérations effectuées.
La Commission rappelle au Conseil général du Val d’Oise ses obligations en qualité de responsable de traitement notamment en matière de sécurité, en application de l’article 34 de la loi n°78-17 du 6 janvier 1978 modifiée. 
Sur les caractéristiques particulières du traitement
Les données nominatives des demandeurs sont conservées dans le traitement 6 ans, à compter de la date de naissance de l’enfant.Cette durée de conservation des données traitées est proportionnée au regard des finalités poursuivies par le traitement, conformément aux dispositions de l’article 6-2° de la loi n°78-17 du 6 janvier 1978 modifiée. 
Autorise, conformément à la présente délibération, le Conseil général du Val d’Oise à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE PIERROTIN