AgentPublic/cnil huggingface dataset:
Sur l’information et le droit d’accès 
L’information est assurée par une communication sur l’intranet du groupe BNP PARIBAS. La personne éventuellement mise en cause est informée dès l'enregistrement des données la concernant.Si le donneur d’alerte utilise le dispositif en qualité de témoin, il devra en informer préalablement la personne victime de discrimination et s’être assuré qu’elle ne soit pas opposée à une telle démarche.La Commission prend acte que les représentants du personnel seront dûment informés de la mise en œuvre de la cellule d’écoute et de traitement des alertes. Les droits d’accès et de rectification s’exercent auprès du référent à l’égalité professionnelle.
Sur les mesures de sécurité
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.Les mesures de sécurité envisagées n’appellent pas d’observations particulières.
Sur les autres caractéristiques du traitement
La Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées. En l’espèce, l’émetteur de l’alerte doit nécessairement s’identifier. Son identité est par la suite traitée de façon confidentielle par les personnes chargées du recueil des alertes.La Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires. Enfin, au regard de la sensibilité des données collectées, la Commission rappelle d’une part, l’importance de respecter l’obligation de confidentialité et les finalités pour lesquelles les données sont collectées et d’autre part, de se conformer aux durées de conservation des données prévues à l’article 6 de l’autorisation unique.
Autorise, conformément à la présente délibération, la société BNP PARIBAS SA à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1564134)
La Commission nationale de l’informatique et des libertés,  
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi           n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le livre II, titre VI, chapitre II, section IV et V du code de l’action sociale et de la famille (CASF) ;
Vu la demande d’autorisation présentée par le Conseil général de la Drôme relative à la gestion des procédures pénales des allocataires présumés ou reconnus coupables de fraude ou d’escroquerie ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Conseil général de la Drôme.
Sur la finalité
La Commission nationale de l’informatique et des libertés a été saisie par le Conseil général de la Drôme d’une demande d’autorisation de mise en œuvre d’un traitement de données à caractère personnel destiné à tenir à jour l’ensemble des procédures pénales relatives aux allocataires présumés coupables ou reconnus coupables de fraude ou d’escroquerie au RMI/RSA. Cette demande d’autorisation est prise sur le fondement de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement porte sur des données relatives aux infractions. En effet, les faits répréhensifs constitutifs de fraudes aux RMI/RSA sont passibles des articles 313-1 et 313-3 et 441-1du code pénal.Une convention a été signée entre le Conseil général de la Drôme et la CAF concernée afin que les informations issues des contrôles réalisés par la caisse d’allocations familiales (CAF) en matière de lutte contre la fraude au RMI/RSA soient communiquées au conseil général qui décidera de poursuivre la procédure ou d’y mettre un terme.La mise en œuvre des poursuites est assurée par le conseil général conformément à la convention signée entre le Conseil général de la Drôme et la caisse d’allocations familiales de la Drôme, le 2 juillet 2009. Cette convention prévoit en son article 8 que :« La CAF lorsqu’elle détecte une éventuelle fraude, soumet le dossier à une commission interne qui apprécie le caractère frauduleux ou non. Si la fraude est retenue la CAF décide des poursuites à engager et
informe le Conseil général de la Drôme pour mise en œuvre. »Par ailleurs, la Commission relève que l’article L.262-46 du CASF dispose que :« Tout paiement indu de revenu de solidarité active est récupéré par l’organisme chargé du service de celui-ci ainsi que, dans les conditions définies au présent article, par les collectivités débitrices du revenu de solidarité active. »La Commission considère que la finalité poursuivie en l’espèce est déterminée, explicite et légitime.
Sur les données traitées
Les données enregistrées dans le traitement de données à caractère personnel que le Conseil général de la Drôme envisage de mettre en œuvre seront :
Le nom et prénom de l’allocataire ;
La référence interne (numéro attribué aléatoirement par le logiciel et utilisé par le service en charge du traitement) ;
Les informations issues des contrôles menés par les agents de la CAF ;
La date de réception du dossier par le conseil général ; 
La date de dépôt de plainte au parquet ; 
La nature de la plainte déposée au parquet ; 
La date de l’audience ; 
Le montant de la fraude ; 
Le résultat de l’audience ; 
Les observations particulières en lien avec la procédure (délai de prescription, jonction de procédure en cas de fraude identique à deux personnes issues du même foyer, dépôt de plainte au commissariat par le conseil général) ;
L’existence d'une retenue administrative ou d'un échéancier de remboursement de la dette (montant de l'échéance et nombre de mensualités).
La Commission relève que le NIR n’est pas utilisé pour ce traitement. 
L’alinéa 5 de l’article L.262-40 du CASF dispose :
« Les informations demandées, que ces administrations, collectivités et organismes sont tenus de communiquer, doivent être limitées aux données nécessaires à l'instruction du droit au revenu de solidarité active, à sa liquidation et à son contrôle ainsi qu'à la conduite des actions d'insertion ».
La Commission considère, par conséquent, que le Conseil général de la Drôme est légalement fondé à détenir ces données dans un traitement de données à caractère personnel ayant pour finalité d’assurer la mise en œuvre des poursuites résultant des contrôles relatifs à la lutte contre la fraude au RMI/RSA.
Sur les destinataires
Sont destinataires de toutes ou parties des données, les personnes habilitées du service juridique et du service insertion du Conseil général de la Drôme dans le cadre de leurs missions.La CAF de la Drôme sera également destinataire des suites données aux dossiers contentieux traités par le conseil général.La Commission considère que ces organismes ont un intérêt légitime à être destinataire de ces données.
Sur l’information et le droit d’accès 
Les bénéficiaires du RSA sont informés de la réalisation de contrôles qui peuvent faire l’objet de poursuites lors de l’ouverture de leur dossier d’allocataire, notamment au travers de mentions apposées sur les formulaires de demande de RSA et les récépissés des demandes de RSA. Par ailleurs, le Conseil général de la Drôme a prévu d’informer les personnes concernées par l’envoi d’un courrier postal personnalisé.Enfin, elle prend acte que les personnes concernées seront informées de leur droit d’accès et de rectification.La Commission considère ainsi que les mesures prévues au titre de l’information des personnes concernées sont satisfaisantes.
Sur les mesures de sécurité
Les actions réalisées dans le traitement en cause seront journalisées, en incluant la référence des données accédées ainsi que l’identifiant de la personne à l’origine de ces actions. La Commission rappelle à cet égard que ces journaux doivent être régulièrement analysés et doivent être conservés pendant une durée limitée n’excédant pas leur durée d’utilité effective.La Commission prend acte du fait que les échanges par mail entre le conseil général et la CAF de la Drôme seront chiffrés. S’agissant de l’authentification des utilisateurs, la Commission rappelle que ses recommandations en matière de mots de passe consistent à utiliser au moins huit caractères, contenant obligatoirement des lettres majuscules, minuscules, des chiffres et des caractères spéciaux. Cette structure de mot de passe doit être imposée aux utilisateurs lors de toute opération de modification de mot de passe.Les mesures de sécurité mises en place n’appellent pas de remarque particulière de la Commission.
Sur les autres caractéristiques du traitement
Le Conseil général de la Drôme conservera les données relatives aux procédures pénales pendant une durée de 3 ans correspond à la prescription triennale pour les délits.
Autorise, conformément à la présente délibération, le Conseil général de la Drôme à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n°1600424)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Service d’Education Spéciale et de Soins à Domicile (SESSAD) 123 soleil d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’enregistrement audio des réunions des équipes pluridisciplinaires afin de rédiger des comptes rendus ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 25-I-1° et 25-I-7° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, rapporteur et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
le Service d’Education Spéciale et de Soins à Domicile (SESSAD) 123 soleil sis 7 avenue des Cigognes à Bretigny sur Orge (91220) est un établissement social et médico-social au sens des dispositions de l’article L. 312-1du code de l’action sociale et des familles. Il exerce donc une mission d’intérêt général et d’utilité sociale conformément à l’article L. 311-1 du même code.Par conséquent, la Commission considère que la mission du Service d’Education Spéciale et de Soins à Domicile (SESSAD) 123 soleil est d’intérêt public.
Sur la finalité
La finalité du présent traitement est l’enregistrement audio de réunions des équipes pluridisciplinaires afin de rédiger des comptes rendus.Ces enregistrements peuvent contenir des informations relatives aux personnes accueillies notamment relatives à leurs données de santé et à leurs difficultés sociales.La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.Elle considère que le recours à la formalité de l’autorisation se justifie également au regard de l’article 25-I-7° de la loi pour ce qui concerne le traitement des données portant sur les difficultés sociales des personnes.
Sur les données traitées
Les catégories de données collectées sont relatives :
à l’identification (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à la vie personnelle (habitude de vie, situation familiale) ;
à la vie professionnelle (CV, situation professionnelle, scolarité et formation) ;
aux informations d’ordre économique et financier (revenus, situation financière) ;
aux données portant sur les difficultés sociales des personnes (données à caractère éducatif et social sur l’évolution des usagers sur le plan personnel et familial) ;
aux données de santé (données se limitant à la saisie de l’appartenance à un Groupe Iso-Ressources (GIR)).
Ces données apparaissent pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels habilités de l’association.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, d’une part par voie d’affichage  dans les locaux de l’établissement et d’autre part sur le formulaire d’admission.Les droits d’accès et de rectification s’exercent auprès de Sessad 123 Soleil, 7 avenue des Cigognes – 91220 Bretigny-Sur-Orge.  Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes. 
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement respecte les préconisations de la Commission, notamment en ce qui concerne les mots de passe utilisés qui sont d’un niveau de complexité suffisant.Le traitement n’est accessible que sur le réseau interne privé de l’organisme, ce qui offre une garantie quand a la sécurité des données y transitant.Ces mesures de sécurité apparaissent satisfaisantes.
Sur les autres caractéristiques du traitement
Les données sont conservées pendant une durée maximale de deux ans à compter de la fin de la relation contractuelle.A l’issue de cette durée de conservation, les données sont archivées (séparation des données physiques avec un accès limité à un nombre restreint de personnes habilitées). Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, le Service d’Education Spéciale et de Soins à Domicile (SESSAD) 123 soleil à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1591200)
La Commission nationale de l’informatique et des libertés, 
Saisie par l’Etablissement d’Hébergement Pour Personnes Agées Dépendantes (EHPAD) Maison Saint-Dominique d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de permettre aux établissements de faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY, rapporteur et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
La Maison Saint-Dominique est un Etablissement d'Hébergement pour Personnes Agées Dépendantes (EHPAD). Il s’agit d’un établissement social et médico-social au sens de l’article L.312-1 du Code de l’action sociale et des familles.Par conséquent la Commission considère que la mission de la Maison Saint-Dominique est d’intérêt public.
Sur la finalité
La finalité du présent traitement est de permettre aux établissements de :
faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées, 
améliorer le suivi des demandes et 
connaître le nombre de personnes en liste d’attente.
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite. 
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification (nom, prénom, adresse, date et lieu de naissance, personne référente) ;
à la vie personnelle (situation familiale) ;
aux données de santé (données relatives aux soins).
Ces données apparaissent pertinentes au regard de la finalité poursuivie. 
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités de l’établissement.Les demandes d’admission sont enregistrées dans une base de données (logiciel Attentum) accessible à tous les EHPAD de la région dans le but de mieux gérer les demandes et notamment les listes d’attente et d’en assurer le suivi.Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par voie d’affichage  dans les locaux de l’établissement ainsi que sur une note d’information au public remise lors du dépôt du formulaire d’admission.Les droits d’accès et de rectification s’exercent auprès de la Maison Saint-Dominique - EHPAD, 17-25 rue Marchant – 57000 Metz.  Ces modalités d’information et d’exercice des droits des personnes apparaissent suffisantes. 
Sur les mesures de sécurité
L’authentification des utilisateurs du traitement respecte les préconisations de la Commission, notamment en ce qui concene les mots de passe utilisés et leur niveau de complexité.Le traitement n’est  accessible que sur le réseau interne privé de l’organisme, ce qui offre une garantie quand a la sécurité des données y transitant.La journalisation des accès (consultation, création, modification et suppression) est réalisée sur certaines informations sensibles (données médicales et informations sur l'instruction d'un dossier). La journalisation intégrale des accès sera effective au 1er Octobre 2012. Ces données ne sont consultables que par les administrateurs spécifiquement désignés pour cette tâche.Les données sont hébergées par un prestataire agréé « hébergement de données de santé » en conformité avec l'architecture technique préconisée par la Commission.Ces mesures de sécurité apparaissent satisfaisantes.
Sur les autres caractéristiques du traitement
Les demandes d'admissions sont réactualisées chaque année. Si la personne n'est plus en demande d'hébergement, les données sont supprimées.Lorsque la personne est admise au sein de l’établissement, les données sont conservées pendant toute la durée de prise en charge et pendant deux ans à compter de la fin de la relation contractuelle.A l’issue de cette durée de conservation, les données sont archivées (séparation des données physiques avec un accès limité à un nombre restreint de personnes habilitées). Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l’Etablissement d’Hébergement Pour Personnes Agées Dépendantes (EHPAD) Maison Saint-Dominique à mettre en œuvre le traitement susmentionné. 
La Présidente
Isabelle FALQUE-PIERROTIN
(Demande d’autorisation n° 1591100)
La Commission nationale de l’informatique et des libertés, 
Saisie par le Centre Local d’information et de Coordination (CLIC) de La Rosselle d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de permettre aux établissements de faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées.
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1°.
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Emmanuel de GIVRY rapporteur et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le Centre Local d’Information et de Coordination (CLIC) de La Rosselle est un établissement d’accueil des personnes âgées. Ses compétences relèvent du Conseil Général de la Moselle et sont gérées par l’Association de services aux séniors.Il s’agit d’un établissement social et médico-social visé à l’article L.312-1 du code de l’action sociale et des familles.Au regard de ce qui précède, la Commission considère que la mission de l’association est d’intérêt public.
Sur la finalité
La finalité du présent traitement est de permettre aux établissements de :
faciliter les démarches des usagers dans le cadre de leur demande d’admission en établissement pour personnes âgées, 
améliorer le suivi des demandes, 
connaître le nombre de personnes en liste d’attente.
La Commission considère la finalité poursuivie comme déterminée, légitime et explicite. 
La Commission estime qu’il y a lieu de faire application des dispositions combinées des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des données relatives à la santé et justifiés par l’intérêt public.
Sur les données traitées
Les catégories de données collectées sont relatives : 
à l’identification (nom, prénom, adresse, date et lieu de naissance, personne référente) ;
à la vie personnelle (situation familiale) ;
aux données de santé (pathologies, affection, données relatives aux soins, degré de dépendance).