AgentPublic/cnil huggingface dataset:
Recensement de l'ensemble des traitements  mis en œuvre par l'organisme et de leurs caractéristiques associés,  dépassant le cadre des informations obligatoires à la tenue du registre  du CIL (article 48 du décret de 2005 modifié).
Contraintes légales
Les contraintes sont des normes dotées d'une force obligatoire.Le mot  légal  doit être entendu dans son acception large, à savoir conforme au droit (et pas uniquement à la loi).Les  contraintes légales comprennent donc l'ensemble des règles de droit  explicites édictées par des autorités qualifiées à cet effet  (dispositions législatives, réglementaires et autres normes à valeur  contraignante).
Correspondant Informatique et libertés (CIL)
Personne physique ou morale, interne ou  externe à l'organisme, chargée d'assurer, de manière indépendante et à  l'abri de tout conflit d'intérêts, le respect des obligations prévues  dans la loi du 6 janvier 1978 modifiée et de son décret d'application du  20 octobre 2005 modifié. Il est également appelé correspondant à la  protection des données à caractère personnel.
Désignation
La désignation d'un CIL par le  responsable de traitement est notifiée à la CNIL par lettre remise  contre signature ou par remise au secrétariat de la commission contre  reçu, ou par voie électronique avec accusé de réception qui peut être  adressé par la même voie (art. 42 du décret de 2005 modifié).La désignation peut être :- étendue : le CIL exerce ses missions pour tous les traitements mis en œuvre par le responsable de traitement ;-  générale : le CIL exerce ses missions pour les seuls traitements qui  devraient faire l'objet d'une déclaration auprès de la CNIL ;- partielle : le CIL n'est désigné que pour certains traitements ou catégories de traitements.
Violation de données à caractère personnel
On entend par violation de données à  caractère personnel toute violation de la sécurité entraînant  accidentellement ou de manière illicite la destruction, la perte,  l'altération, la divulgation ou l'accès non autorisé à des données à  caractère personnel faisant l'objet d'un traitement (article 34 bis de  la loi du 6 janvier 1978 modifiée).
1. Evaluation du dispositif interne liée à la protection des données1.1. Exigences relatives à la politique de protection des données
EOR01. Le demandeur met en place en interne une  politique formalisée de protection des données personnelles visant à  s'assurer du rôle et de la responsabilité de chacun des acteurs  impliqués dans la mise en œuvre de traitements précisant son  organisation ainsi que les grands principes de protection des données  applicables (finalité déterminée, explicite et légitime, pertinence des  données au regard de la finalité, durée de conservation limitée, accès  restreint aux données, mesures de sécurité physiques et logiques,  information des personnes et, le cas échéant, les règles en matière de  transferts de données hors Union européenne).EOR02. Le demandeur met  en place une politique de protection des données personnelles à  destination des personnes extérieures concernées par ses traitements.  Cette politique reprend les principes évoqués à l'EOR01 et comprend une  information claire, accessible et disponible en langue française.EOR03.  Le demandeur garantit que les politiques de protection des données sont  diffusées (pour l'EOR01 en interne, pour l'EOR02 en externe) et  validées préalablement par le correspondant Informatique et libertés à  chaque nouvelle désignation et à défaut tous les trois ans.
1.2. Exigences relatives au correspondant Informatique et libertés (CIL)
EOR04. Le demandeur désigne un CIL dont la désignation,  dite  étendue , couvre l'ensemble des traitements mis en œuvre par  l'organisme.EOR05. La procédure du demandeur assure le  positionnement stratégique du CIL en prévoyant que la fonction de CIL  est rattachée à un membre de l'instance exécutive. A cet égard, ce  membre de l'instance exécutive ou le demandeur s'engage à recevoir  formellement son CIL, selon une périodicité définie et au moins une fois  par an, indépendamment de la présentation du bilan annuel d'activité.EOR06.  Le demandeur formalise dans un document spécifique les missions  confiées au CIL (lettre de mission, avenant au contrat, contrat de  service, etc.).EOR07. Le demandeur s'assure que son CIL personne  physique, ou que toutes les personnes supervisant des dossiers  Informatique et libertés au sein du CIL personne morale ont  obligatoirement et a minima participé à l'ensemble des ateliers  d'information de la CNIL relatifs aux principes fondamentaux, à la  sécurité et aux ressources humaines.EOR08. Le demandeur s'assure que  les compétences de son CIL personne physique, ou toutes les personnes  supervisant des dossiers Informatique et libertés au sein du CIL  personne morale, sont régulièrement entretenues.EOR09. Le demandeur  justifie que son CIL bénéficie d'un budget annuel dédié et de moyens lui  permettant d'assurer ses missions (temps consacré à la mission, moyens  humains, outils dédiés...).EOR10. Le demandeur s'assure que le pilotage de la
mise en conformité est réalisé par son CIL grâce à :
- la définition des circuits de validation pour  l'ensemble des activités liées à la protection des données et  l'intégration du CIL dans ces circuits ;- la mise en place d'outils de pilotage (notamment par la réalisation d'un bilan annuel d'activités) ;-  l'établissement d'un réseau de personnes identifiées (nommément, par  fonction ou par service) comme interlocuteurs du CIL pour chaque  traitement ;- la consultation du CIL dès l'initialisation d'un  projet impliquant un traitement de données personnelles et à chaque fois  qu'il le juge utile, dans le but d'introduire le respect de la  protection des données dès la conception du projet.
EOR11. La procédure du demandeur prévoit que le CIL  réalise une cartographie de l'ensemble des traitements mis en œuvre par  le demandeur et le met à jour pour tout nouveau traitement. La  cartographie attendue comprend notamment pour chaque traitement :
- le nom (dénomination) et l'adresse du responsable du traitement ;- la ou les finalités de traitement ;- le ou les services chargés de sa mise en œuvre ;- la fonction de la personne ou le service auprès duquel s'exercent les droits des personnes ainsi que leurs coordonnées ;- les modalités d'information et d'exercice des droits des personnes ;- une description des catégories de données traitées et de l'origine de leur collecte ;- les catégories et une estimation du nombre de personnes concernées par le traitement ;- les destinataires ou catégories de destinataires habilités à recevoir communication des données ;- la ou les durées de conservation des données traitées ;-  le régime juridique applicable et, le cas échéant, la date de dépôt des  formalités ainsi que la décision datée de la CNIL (pour les traitements  relevant des demandes d'autorisation ou d'avis, le CIL procède à  l'accomplissement des formalités nécessaires auprès de la CNIL) ;- les dispositions prises pour assurer la sécurité des données ;-  l'existence ou non d'un transfert hors Union européenne et, le cas  échéant, la finalité du transfert, les catégories de personnes  concernées, la nature des données transférées, les catégories de  destinataires du transfert (filiale, prestataire, etc.), la nature des  traitements opérés chez le destinataire, le pays d'établissement et la  garantie permettant d'encadrer le transfert (telle que les BCR, clauses  contractuelles types et Safe Harbor) ;- l'existence ou non
de la  sous-traitance d'une activité (avec mention de l'existence et de la date  de signature du contrat de sous-traitance comportant une clause  Informatique et libertés) ;- un niveau de vraisemblance et de gravité pour l'ensemble des risques liés au traitement ;- la date et l'objet des mises à jour ;- les modalités de recueil du consentement lorsque nécessaire ;- l'utilisation de cookies le cas échéant.
EOR12. La procédure du demandeur prévoit, chaque année,  la réalisation par le CIL d'actions de sensibilisation, avec une forme  et une fréquence adaptées au contexte (telles que la tenue de  formations, la diffusion de bonnes pratiques, la réalisation de supports  de communication, le rappel des consignes, la création d'outils  pédagogiques et méthodologiques).EOR13. La procédure du demandeur  prévoit que le CIL est associé aux échanges avec la CNIL lors de ses  missions de contrôle a posteriori :
- dans le cadre de la réalisation d'un contrôle par  l'autorité de protection des données, le CIL prend toutes les mesures  utiles pour faciliter le déroulement de la mission de contrôle  (définition des règles d'accueil de la délégation et assurance de la  transmission des informations demandées par exemple), le CIL reçoit du  responsable de traitement la copie du procès-verbal de contrôle et est  également informé des suites par le responsable de traitement ;-  dans le cadre d'une mise en demeure, le CIL s'assure de la cohérence des  actions réalisées suite à la mise en demeure, et du respect des délais ;-  dans le cadre de poursuites devant la formation restreinte, le CIL  reçoit du responsable de traitement la copie du rapport à fin de  sanction, est consulté pour la rédaction des observations en réponse et  s'assure du suivi des actions.
2. Evaluation de la méthode de vérification de la conformité des traitements à la loi Informatique et libertés2.1. Exigences relatives à l'analyse de la conformité
EM01. Le demandeur garantit que le CIL analyse ou fait  analyser les traitements au regard de la loi du 6 janvier 1978 modifiée  et des recommandations de la CNIL, a minima en termes de finalité, de  proportionnalité du traitement, de pertinence des données au regard de  la finalité (en accédant aux données sauf dans l'hypothèse d'un secret  prévu par la loi), de durée de conservation, du nombre de destinataires,  d'encadrement des relations avec les sous-traitants, d'information  claire et préalable, d'exercice des droits des personnes et, le cas  échéant, d'encadrement des transferts hors Union européenne.EM02. La  procédure du demandeur prévoit qu'à l'issue de son analyse juridique le  CIL procède, le cas échéant, à l'élaboration de recommandations et  propose au responsable de traitement un plan d'actions préventives et  correctives.EM03. La procédure du demandeur comprend une démarche  particulière pour préserver la confidentialité, l'intégrité et la  disponibilité des données à caractère personnel au regard des risques  présentés par chaque traitement mis en œuvre. Cette démarche, révisée au  moins tous les trois ans, comprend :
- l'identification et l'analyse des principaux risques  liés à la sécurité des données à caractère personnel que les traitements  font peser sur les libertés et la vie privée des personnes concernées.  Cette démarche permet notamment d'estimer chaque risque en termes de  vraisemblance et de gravité ;- la détermination des mesures de  sécurité mises en œuvre et l'évaluation de leur pertinence vis-à-vis des  risques ainsi appréciés.
EM04. La procédure du demandeur prévoit que :
- le CIL s'assure de la réalisation de l'étude de risques visée à l'EM03 ;-  une copie de cette étude est remise au CIL lui permettant de faire part  de ses observations au responsable de traitement avant la mise en œuvre  du projet.
2.2. Exigences relatives au contrôle de la conformité dans le temps
EM05. La procédure du demandeur prévoit un examen de  conformité périodique (par le biais d'un audit interne ou externe)  permettant de s'assurer que les traitements considérés comme les plus  sensibles au regard des risques identifiés à l'EM01 et l'EM03 sont mis  en œuvre conformément à la loi et à l'étude des risques précédemment  réalisée. Le CIL est destinataire des résultats de l'audit.EM06. La  procédure du demandeur prévoit que des actions correctives sont  envisagées et réalisées en cas de manquements constatés lors de l'examen  de conformité.
3. Evaluation de la gestion des réclamations et incidents3.1. Exigences relatives à la gestion des réclamations et à l'exercice des droits des personnes
EG01. Le demandeur met en place une procédure spécifique  de gestion des réclamations et des demandes relatives à l'exercice des  droits des personnes (accès, rectification et opposition) comprenant a  minima les modalités d'exercice, la chaîne de traitement et les délais  de communication.EG02. La procédure du demandeur prévoit que le CIL  pilote la gestion des réclamations et demandes relatives à l'exercice  des droits des personnes, notamment en étant informé de la réception de  chaque demande, du traitement qui y est apporté, et en s'assurant du  respect des délais.EG03. La procédure du demandeur prévoit la mise  en place d'outils d'aide à la gestion des réclamations et demandes  relatives à l'exercice des droits des personnes (réponses types, guides,  formations, etc.).
3.2. Exigence relative à la journalisation des événements de sécurité
EG04. La procédure du demandeur prévoit la mise en place  d'une architecture de journalisation permettant de conserver, sur une  durée de six mois hors contraintes légales spécifiques, une trace des  événements de sécurité et du moment où ils ont eu lieu, en choisissant  les événements à journaliser en fonction du contexte, des supports  (postes de travail, pare-feu, équipements réseau, serveurs...), des  risques et du cadre légal.
3.3. Exigences relatives à la gestion des violations de données
EG05. Le demandeur met en place une procédure spécifique de gestion des violations de données comprenant :
- la détection des violations ;- l'information du CIL dans un délai inférieur à 24 heures à partir de la détection de la violation ;- la détermination de la nature de la violation ;- la formulation des recommandations du CIL et leur transmission au responsable de traitement ;- le plan d'actions appropriées, validé par le responsable de traitement ;- la réalisation des actions correctives et l'information du CIL ;- la révision de l'étude des risques, le cas échéant.
EG06. Le demandeur procède, en cas d'accès par un tiers  non autorisé à des données personnelles, à une notification aux  personnes concernées dans un délai inférieur à 72 heures.
La présidente,
I. Falque-Pierrotin
(Demande d’autorisation n° 1743960)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Union départementale des associations familiales de Loire-Atlantique, prise en qualité de service mandataire à la protection des majeurs, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code civil ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu la loi n° 2007-308 du 5 mars 2007 portant réforme de la protection juridique des majeurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté  portant agrément du préfet de Loire-Atlantique en date du 23 juillet 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Union départementale des associations familiales de Loire-Atlantique (UDAF 44), en sa qualité de service mandataire à la protection des majeurs, sise au 35A, rue Paul BERT – CS 10509 – 44105 NANTES CEDEX 4.L’UDAF 44 est un établissement social et médico-social, au sens de l’article L. 312-1 du code de l’action sociale et des familles (CASF).Le responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L. 471-1 du CASF.L’UDAF 44 a été autorisée, par arrêté préfectoral du 23 juillet 2010, à gérer un service mandataire à la protection des majeurs relevant du 14° du I de l’article L. 312-1 du même code. 
Sur la finalité
L’UDAF 44 a saisi la Commission, en qualité de service mandataire judiciaire à la protection des majeurs, d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre, une gestion administrative et comptable du service de tutelle est nécessaire. La Commission considère que cette finalité est déterminée, explicite et légitime.Le traitement, justifié par l’intérêt public, peut faire apparaître, directement ou indirectement les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale ou des données relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La Commission estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro
Sur les données traitées
Les données collectées dans le cadre du présent traitement sont, en fonction du type de la mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, habitudes de vie) ;
à  leur vie professionnelle  (situation professionnelle) ;
à des informations d’ordre économique et financier (revenus, situation financière, budget personnel, dépenses, placements financiers, patrimoine immobilier) ;
à l’appartenance religieuse, politique ou syndicale ;
à la santé ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie, dès lors qu’elles s’avèrent nécessaires à l’exercice d’un mandat de représentation.
Sur les destinataires
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement. Le responsable de traitement est habilité à transmettre des données aux destinataires suivants. Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la Caisse des dépôts et consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part. 
Sur les durées de conservation
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection, sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, par le responsable de traitement, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par la remise  d’un livret d’accueil destiné aux personnes protégées lors de l’ouverture de la mesure, ainsi que par une notice d’information affichée dans les salles d’attente.De plus, les personnes sont informées de leurs droits à l’ouverture de la mesure. Elles sont informées du respect de la confidentialité des données qui les concernent lors de l’élaboration du Document Individuel de Protection du Majeur (DIPM).La Commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que ces  informations doivent être fournies selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de l’UDAF 44 par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs. Les échanges de données effectués sur internet sont sécurisés par des procédés de chiffrement du transport des données.Les accès à l’application font l’objet d’une journalisation. La Commission rappelle que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées. Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, l’Union départementale des associations familiales de Loire-Atlantique (UDAF 44), en sa qualité de service mandataire à la protection des majeurs, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN