AgentPublic/cnil huggingface dataset:
2014 relative aux comptes bancaires inactifs et aux contrats d'assurance vie en déshérence, prévoient que le droit d'accès et de rectification s'exerce auprès du Correspondant informatique et libertés de la Caisse des dépôts et consignations. La commission relève que le droit d'opposition n'est pas applicable dans la mesure où le traitement mis en place par la Caisse des dépôts et consignations répond à une obligation légale. Sur la sécurité des données et la traçabilité des actions : La commission rappelle que des mesures doivent être prises par le responsable de traitement afin de garantir la sécurité et la confidentialité des données, et, notamment, empêcher que des tiers non autorisés y aient accès. A ce titre, la commission prend note du fait qu'une authentification forte des seules personnes dument habilitées à en connaitre sera mise en œuvre au sein de la Caisse des dépôts et consignation. Elle prend note du fait qu'un chiffrement du flux sera déployé sur la plateforme d'accès externe et que les solutions mises en œuvre permettront d'assurer la sécurisation des informations transmises. La commission rappelle que le traitement doit comporter un niveau de cloisonnement idoine des modules applicatifs du portail existant et adapter les processus d'habilitation dans le cadre du déploiement de ce téléservice. La commission souligne également la mise en œuvre d'une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant
d'identifier l'utilisateur à l'origine d'une opération. La gestion des mots de passe doit respecter les recommandations de la commission : mots de passe individuels composés d'au moins huit caractères des catégories alphabétique, numérique et spéciaux, lesquels sont régulièrement renouvelés. La commission rappelle que, le dispositif étant un téléservice, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé. La commission relève que les personnels de la Caisse des dépôts et consignations concernés au titre de leurs fonctions accèdent directement à tout ou partie des données à caractère personnel strictement nécessaires à l'exercice de leurs missions pour la mise en œuvre du téléservice. Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Emet un avis favorable au projet de décision de la Caisse des dépôts et consignations susvisé.
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la convention d'application des accords de Schengen, notamment son article 45 ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment son article R. 611-42 ;Vu le code du tourisme ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 24-II ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 1er octobre 2015 pris en application de l' article R. 611-42 du code de l'entrée et du séjour des étrangers et du droit d'asile ;Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :L'article 45 de la convention d'application des accords de Schengen (CAAS) du 19 juin 1990 impose aux Etats membres de prendre les mesures nécessaires afin que les professionnels du tourisme fassent remplir et signer aux touristes étrangers une fiche individuelle de police,
couramment appelée  fiche d'hôtel .En application de cette disposition, l' article R. 611-42 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) impose aux hôteliers, aux exploitants de villages et de maisons familiales de vacances, aux résidences et villages résidentiels de tourisme, aux loueurs de meublés de tourisme et de chambres d'hôtes et aux exploitants de terrains de camping, de caravanage et d'autres terrains aménagés de faire remplir et signer par toute personne étrangère, dès son arrivée, une fiche individuelle de police, aux fins de prévention des troubles à l'ordre public, d'enquêtes judiciaires et de recherche dans l'intérêt des personnes.Le modèle de ces fiches individuelles de police est fixé par l'arrêté du 1er octobre 2015 susvisé.L'article R. 611-42 du CESEDA et l'arrêté du 1er octobre 2015 précité fixent de manière précise les finalités de la tenue et de la conservation de ces fiches, les données qui seront collectées, la durée de conservation des fiches ainsi établies ainsi que les destinataires de ces fiches.L'établissement et la conservation de ces fiches individuelles de police entraîneront nécessairement la mise en œuvre, par les établissements de tourisme concernés, de traitements de données à caractère personnel.Conformément à l'article 24-II de la loi du 6 janvier 1978 modifiée, la commission est habilitée à définir, pour les catégories les plus courantes de traitements de données à caractère personnel et dont la mise en
œuvre n'est pas susceptible de porter atteinte à la vie privée ou aux libertés, celles qui sont dispensées de déclaration.Compte tenu des finalités, des données à caractère personnel traitées, de la durée de conservation de celles-ci, des destinataires de ces fiches individuelles de police et de l'encadrement réglementaire déjà existant en la matière, la commission considère que ces traitements sont de ceux qui peuvent, dans certaines conditions, relever de cette définition. Ils peuvent dès lors faire l'objet d'une dispense de déclaration sous réserve du strict respect des dispositions suivantes.
Champ d'application.S'agissant en premier lieu des organismes tenus de faire remplir et signer une fiche individuelle de police, l'article R. 611-42 du CESEDA prévoit que sont concernés  les hôteliers, les exploitants de villages et maisons familiales de vacances, de résidences et villages résidentiels de tourisme, les loueurs de meublés de tourisme et de chambres d'hôtes, les exploitants de terrains de camping, caravanage et autres terrains aménagés , tels que définis par le code du tourisme. Sont ainsi visées toutes les personnes louant un bien à des fins touristiques, même à titre non professionnel, et notamment les particuliers, loueurs de meublé de tourisme. En revanche, les personnes physiques ou morales louant des locaux nus ne sont pas astreintes, aux termes de ce même article, à cette obligation.S'agissant en deuxième lieu des personnes concernées, l'article R. 611-42 du CESEDA prévoit que les établissements de tourisme sont tenus de faire remplir et signer la fiche individuelle de police à  l'étranger , dès son arrivée.Sont ainsi concernés tous les étrangers au sens du CESEDA, soit toutes les personnes qui n'ont pas la nationalité française. Tous les étrangers, qu'ils soient ou non ressortissants d'Etats membres de l'Union européenne, y compris ceux résidant habituellement en France, doivent remplir les fiches individuelles de police, dès lors qu'ils séjournent dans l'une des structures de tourisme visées par l'article R. 611-42 du CESEDA, pour chacun de leurs
séjours dans l'un des hébergements concernés.Les personnes majeures comme mineures, sans limite d'âge, entrent dans le champ d'application de cette disposition. Toutefois, les mineurs de moins de quinze ans peuvent figurer sur la fiche d'un adulte qu'ils accompagnent.Enfin, sont concernées toutes les personnes étrangères hébergées par l'établissement de tourisme et pas uniquement celles qui auraient procédé à la réservation ou au paiement.
Article 2
Finalités des traitements.Seuls peuvent bénéficier de la présente dispense de déclaration les traitements de données à caractère personnel ayant pour unique finalité l'établissement et la conservation des fiches individuelles de police, dans les conditions prévues par l'article R. 611-42 du CESEDA.Les données nécessaires à l'établissement de ces fiches ne peuvent être traitées à d'autres fins.
Article 3
Informations collectées et traitées.Seules peuvent être traitées les données à caractère personnel prévues par la réglementation en vigueur, notamment par l'arrêté du 1er octobre 2015 susvisé. Il s'agit des :
- nom ;- prénoms ;- date de naissance ;- lieu de naissance ;- nationalité ;- domicile habituel ;- numéro de téléphone mobile ;- adresse électronique ;- date d'arrivée au sein de l'établissement et date de départ prévue ;- date et signature.
Lorsqu'un mineur âgé de moins de 15 ans figure sur la fiche d'un adulte qui l'accompagne, seules les données suivantes le concernant sont collectées :
- nom ;- prénom ;- date de naissance ;- lieu de naissance ;- nationalité ;- domicile habituel ;- numéro de téléphone mobile ;- adresse électronique.
Les fiches individuelles de police peuvent être tenues de manière dématérialisée. Des données pourront notamment être extraites du fichier de gestion de la clientèle afin de préremplir la fiche. Toutefois, seules les données listées ci-dessus pourront être extraites de ce fichier, à l'exclusion de toute autre.Les modalités de signature n'étant pas fixées par les textes réglementaires en vigueur, elle peut intervenir de manière électronique.
Article 4
Destinataires des informations.Pour l'exercice des finalités précitées, peuvent seules avoir communication des fiches individuelles de police les personnes prévues par l'article R. 611-42 du CESEDA. Ainsi, les fiches sont remises, sur leur demande, aux services de police et aux unités de gendarmerie.Cette demande des autorités compétentes ne doit être fondée que sur l'un des trois motifs prévus par les dispositions précitées du CESEDA (prévention des troubles à l'ordre public, enquêtes judiciaires, recherche dans l'intérêt des personnes) et seules les données nécessaires à une enquête doivent être requises par les services de police et les unités de gendarmerie.Le CESEDA prévoit que cette transmission peut s'effectuer sous forme dématérialisée. Cette transmission peut intervenir par tout moyen, tel que des plates-formes électroniques dédiées, la création d'adresses électroniques spécifiques ou encore une clé USB. La commission rappelle, en tout état de cause, que ces transmissions dématérialisées devront intervenir dans des conditions permettant de garantir le respect des dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.Aucun transfert de données à caractère personnel à destination d'un Etat non membre de l'Union européenne n'est mis en œuvre.
Article 5
Durée de conservation.Conformément à l'article R. 611-42 du CESEDA, les hôteliers, les exploitants de villages et maisons familiales de vacances, de résidences et villages résidentiels de tourisme, les loueurs de meublés de tourisme et de chambres d'hôtes, les exploitants de terrains de camping, caravanage et autres terrains aménagés sont tenus de conserver les fiches établies pendant une durée de six mois.Au terme de cette durée de conservation, les organismes de tourisme doivent détruire de façon définitive et sécurisée les fiches individuelles de police qu'ils détiennent. Si les données mentionnées à l'article 3 figurent également dans d'autres traitement, notamment le fichier de gestion de la clientèle, elles ne pourront être communiquées, une fois les fiches supprimées, que sur réquisition judiciaire.
Article 6
Information et droit d'accès.Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées doivent être informées par l'établissement de tourisme qui les héberge :
- de l'identité du responsable du traitement ;- de la finalité poursuivie par le traitement auquel les données sont destinées ;- du caractère obligatoire des réponses ;- des conséquences éventuelles, à leur égard, d'un défaut de réponse ;- des destinataires ou catégories de destinataires des données ;- des droits qu'elles tiennent des dispositions de la loi du 6 janvier 1978 modifiée (en l'espèce, droits d'accès et de rectification).
Cette information doit être claire, compréhensible et accessible, particulièrement au regard de la nature des établissements concernés, qui sont susceptibles d'accueillir des personnes de différentes nationalités. L'information doit dès lors être intelligible et, le cas échéant, délivrée en plusieurs langues.Cette information peut notamment être délivrée par l'intermédiaire d'un document remis au moment où la fiche individuelle de police est remplie par la personne concernée ou par voie d'affichage dans les locaux de l'établissement de tourisme. Elle peut également être délivrée par l'intermédiaire du site internet de l'établissement.Les droits d'accès et de rectification, prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exercent directement auprès de l'organisme de tourisme.Les traitements projetés répondant à une obligation légale, le droit d'opposition ne s'applique pas, conformément aux dispositions de l'article 38 de la loi du 6 janvier 1978 modifiée.
Article 7
Politique de confidentialité et de sécurité.Le responsable de traitement doit mettre en œuvre des mesures de sécurité et de traçabilité permettant de répondre à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée et adaptées au mode de conservation et de transmission des fiches individuelles de police.L'organisme de tourisme prend ainsi les mesures de protection physique et logique adéquates afin de préserver la sécurité des fiches individuelles de police, empêcher toute utilisation détournée ou frauduleuse des informations, notamment par des tiers non autorisés et préserver la confidentialité et l'intégrité des données.Il prend en outre les mesures nécessaires pour préserver la sécurité des données lors de leur communication aux destinataires listés à l'article 4 de la présente dispense.A ce titre, il s'assure notamment que les échanges d'informations avec les services de police ou les unités de gendarmerie sollicitant ces fiches s'effectuent de manière sécurisée et de façon à garantir la confidentialité des données ainsi transmises. Ces mesures de sécurité doivent être adaptées au format de conservation des fiches individuelles de police.L'organisme de tourisme s'assure enfin que les demandes de fiches, par les services de police ou les unités de gendarmerie, font l'objet d'une traçabilité effective et adaptée au mode de communication. Ces mesures de traçabilité comportent a minima l'identité de la personne sollicitant la fiche individuelle
de police, le service auquel elle appartient ainsi que la date et le motif de cette demande (prévention des troubles à l'ordre public, enquêtes judiciaires, recherche dans l'intérêt des personnes).La commission rappelle que cette obligation de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Article 8
Effets de la dispense.Les traitements répondant aux conditions visées aux articles 1 à 7 peuvent être mis en œuvre sans délai et sans déclaration préalable auprès de la CNIL.La dispense de déclaration préalable auprès de la CNIL n'exonère le responsable de tels traitements d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel. En particulier, la commission rappelle qu'elle se réserve le droit de contrôler le respect des dispositions de la présente délibération.
Article 9
Publication.La présente délibération sera publiée au Journal officiel de la République française.
 
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de l'action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;Vu le code civil ;Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;Vu le code de la santé publique, notamment son article L. 1111-4 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les I-1°, I-3°, I-6° et II de son article 25 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2012-663 du 4 mai 2012 modifié relatif aux modalités de gestion des biens des personnes protégées dont la protection est confiée à un mandataire judiciaire, personne ou service préposé d'une personne morale de droit public ;
Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :Aux termes de l'article L. 471-1 du code de l'action sociale et des familles (CASF),  les mandataires judiciaires à la protection des majeurs exercent à titre habituel les mesures de protection des majeurs que le juge des tutelles leur confie au titre du mandat spécial auquel il peut être recouru dans le cadre de la sauvegarde de justice ou au titre de la curatelle, de la tutelle ou de la mesure d'accompagnement judiciaire .En application des articles L. 471-2 et L. 472-1 du même code, ces mandataires sont inscrits sur une liste dressée et tenue à jour par le représentant de l'Etat dans le département, après avoir fait l'objet d'un agrément en qualité de mandataire judiciaire à la protection des majeurs. Cet agrément est délivré par le représentant de l'Etat dans le département, après vérification que la personne satisfait aux conditions prévues par les articles L. 471-4 et L. 472-2 du CASF et avis conforme du procureur de la République.Les traitements de données à caractère personnel mis en œuvre dans le cadre des différentes missions confiées à ces mandataires sont susceptibles de porter sur des  données sensibles  au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, sur des données relatives à des infractions, condamnations ou mesures de sûreté, sur des données comportant des
appréciations sur les difficultés sociales des personnes ainsi que sur le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques.Dès lors, de tels traitements, justifiés par l'intérêt public, relèvent des articles 25-I-1°, 25-I-3° et 25-I-6° de la loi du 6 janvier 1978 modifiée et doivent, à ce titre, être autorisés par la CNIL.En vertu de l'article 25-II de la loi du 6 janvier 1978 modifiée, la commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.Les traitements mis en œuvre par les mandataires judiciaires à la protection des majeurs aux fins d'exercice de leurs missions sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.Dans ces conditions, la commission décide que les responsables de traitement qui lui adressent une déclaration comportant un engagement de conformité à la présente décision unique sont autorisés à les mettre en œuvre.Tout traitement de données à caractère personnel qui excède le cadre ou méconnaît les exigences définies par la présente autorisation unique doit en revanche faire l'objet d'une formalité spécifique.
Article 1
Sur les finalités des traitements :La fonction de mandataire judiciaire à la protection des majeurs peut être exercée par des services mandataires à la protection des majeurs, par le préposé d'un établissement hospitalier, social ou médico-social, dans les conditions prévues à l'article L. 472-6 du CASF, ou encore par un mandataire individuel.Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente autorisation unique les traitements mis en œuvre par les mandataires judiciaires à la protection des majeurs. Ces mandataires sont ceux qui exercent les mesures de protection des majeurs que le juge des tutelles leur confie au titre du mandat spécial auquel il peut être recouru dans le cadre des mesures de sauvegarde de justice, de tutelle, de curatelle, ou d'accompagnement judiciaire.Ces traitements ne peuvent poursuivre que les finalités suivantes :
- la gestion et le suivi de la représentation juridique, de l'assistance et du contrôle des personnes placées par l'autorité judiciaire sous sauvegarde de justice, sous tutelle, sous curatelle ou sous mesure d'accompagnement judiciaire ;- la gestion administrative et comptable du service de sauvegarde juridique, de tutelle, de curatelle ou de la mesure d'accompagnement judiciaire.
En particulier, sont notamment exclus du champ de la présente autorisation unique :
- les traitements mis en œuvre par les mandataires familiaux, lesquels sont néanmoins tenus de rendre compte de l'exécution de leur mandat à la personne protégée et à l'autorité judiciaire ;- les traitements mis en œuvre dans le cadre des mandats de protection future ;- les traitements mis en œuvre aux fins de gestion et de suivi des personnes mineures, notamment dans le cadre de la prévention et la protection de l'enfance ;- les traitements mis en œuvre pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public, dès lors que ceux-ci portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques.
Article 2
Sur la nature des données traitées :La commission rappelle que des données à caractère personnel ne peuvent être collectées et traitées que si elles sont strictement nécessaires aux finalités poursuivies par les traitements mis en œuvre. En particulier, il incombe au responsable de traitement de ne collecter que des données adéquates, pertinentes et non excessives au regard du type de mesure de protection prononcée par le juge (sauvegarde de justice, curatelle, tutelle, accompagnement judiciaire), de son contenu précis et de la nature des actes à accomplir.En tout état de cause, la commission rappelle que les données définies dans le cadre de la présente autorisation ne doivent en aucun cas être systématiquement collectées et que le responsable de traitement doit notamment être en mesure de justifier du caractère nécessaire et proportionné de chacune de ces données dans le cadre de l'accompagnement induit par le type de mesure exercée, en tenant compte notamment de la durée prévisible de la mesure exercée et de la présence au sein du mandat d'une mission de protection de la personne.Dans ces conditions, peuvent être traitées, y compris sous la forme de pièces justificatives, les données suivantes relatives aux personnes représentées ou assistées :