AgentPublic/cnil huggingface dataset:
Le contrat de génération a été créé par la loi n° 2013-185 du 1er mars 2013. Le nouvel article L. 5121-6 du Code du travail dispose que  le contrat de génération a pour objectifs de faciliter l'intégration des jeunes dans l'emploi par leur accès à un contrat à durée indéterminée, de favoriser l'embauche et le maintien en emploi des salariés âgés et d'assurer la transmission des savoirs et des compétences .
Ce nouveau dispositif prévoit que les entreprises qui signent un contrat de génération avec un jeune de moins de 26 ans, en contrepartie du maintien de l'emploi d'un sénior de plus de 57 ans, peuvent percevoir, sous certaines conditions, une aide financière versée par l'Etat. Pour les personnes en situation de handicap, ces seuils d'âge sont fixés à 30 ans pour les jeunes salariés embauchés, d'une part, et à 55 ans et plus pour les salariés âgés, d'autre part.
Le contrat de génération est applicable aux employeurs de droit privé et sa mise en œuvre est adaptée selon la taille de l'entreprise. La loi prévoit que l'aide financière prévue au bénéfice des entreprises adhérant au dispositif  Contrat de génération , soit 4.000€ par an pendant trois ans, est versée par Pôle emploi pour le compte de l'Etat.
Aussi, le traitement soumis à l'avis de la Commission est-il destiné à la gestion de l'aide allouée aux entreprises par Pôle emploi.
L'article 1er du projet de décision de Pôle emploi précise que ce traitement a pour finalité  d'attribuer et de verser une aide à l'employeur, pour le compte de l'Etat, et de transmettre au ministère chargé de l'emploi des données à caractère personnel relatives à cette aide à des fins de suivi financier, de pilotage de la politique de l'emploi et de statistiques .
La Commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur la nature des données traitées 
L'article 2 du projet de décision du Conseil d'administration de Pôle emploi mentionne les données collectées et enregistrées dans le cadre du traitement soumis à la Commission. 
Ces données peuvent concerner trois catégories de personnes.
 S'agissant des jeunes salariés embauchés :
- Données d'identification (nom, prénom, date de naissance, adresse et numéro de téléphone) ;- Numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (numéro de sécurité sociale ou NIR) ;- Données relatives à la vie professionnelle (date d'embauche et caractéristiques du contrat, nature de l'emploi, période de suspension du contrat, date et motif de la rupture du contrat, reconnaissance de la qualité de travailleur handicapé ; niveau de formation ; situation professionnelle avant l'embauche) ;- Données relatives à la situation économique et financière (salaire).
 S'agissant des salariés âgés :
- Données d'identification (nom, prénom et date de naissance) ;- Numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (numéro de sécurité sociale ou NIR) ;- Données relatives à la vie professionnelle (date d'embauche et caractéristiques du contrat, nature de l'emploi, période de suspension du contrat, date et motif de la rupture du contrat, reconnaissance de la qualité de travailleur handicapé) ;
 S'agissant de l'employeur ou du correspondant de Pôle emploi dans l'entreprise d'embauche :
- Données d'identification (nom, raison sociale, SIRET, adresse postale, adresse électronique, téléphone) ;- Données relatives à la vie professionnelle (effectifs de l'entreprise, convention collective applicable).
S'agissant du recours au NIR, Pôle emploi a indiqué que le traitement de cette information lui permet de s'assurer que l'aide versée se rapporte à l'embauche d'une même et unique personne au sein d'une entreprise.
Selon les indications de Pôle emploi, le dispositif  Contrat de génération  repose uniquement sur un système déclaratif, ce qui implique que Pôle emploi prenne toutes les mesures nécessaires afin de vérifier l'identité du salarié pour lequel une aide est versée à l'employeur. Ce contrôle est d'autant plus nécessaire qu'une même entreprise a la possibilité de bénéficier de l'aide autant de fois qu'il y a de jeunes embauchés.
Concernant le salaire du jeune, la collecte de cette information permet à Pôle emploi de vérifier que les entreprises qui la sollicitent sont éligibles au dispositif  Contrat de génération . En effet, parmi les conditions à respecter figure l'embauche du jeune à temps plein. La connaissance du salaire du jeune, qui doit percevoir le smic conformément aux dispositions légales et réglementaires en vigueur, permet à Pôle emploi de vérifier que cette condition est bien remplie. En cas de salaire minoré, Pôle emploi pourra ainsi effectuer un contrôle de cohérence.
Les autres données personnelles collectées n'appellent pas d'observations particulières. La Commission considère que le traitement de l'ensemble des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur la durée de conservation des données 
Il est prévu que les données collectées soient conservées pendant huit ans.
A cet égard, la Commission rappelle que l'article 6-5° de la loi du 6 janvier 1978 modifiée dispose que les données à caractère personnel ne peuvent être conservées sous une forme permettant l'identification des personnes concernées que pour le temps nécessaire à l'accomplissement de la finalité poursuivie.
Elle constate que l'aide versée par Pôle emploi peut être allouée pendant trois ans maximum. Dans ces conditions, elle estime que les informations collectées par Pôle emploi pour le versement de l'aide ne doivent pas être conservées dans la base active au-delà de cette durée. 
Seules des dispositions législatives ou réglementaires expresses, par exemple en matière d'archives publiques, peuvent permettre la conservation d'informations à l'issue de ce délai. 
Sur les destinataires des données 
L'article 3 du projet de décision de Pôle emploi prévoit que sont destinataires des données du traitement  Aide-contrat génération , à l'exception du numéro de sécurité sociale, la direction de l'animation de la recherche et des études statistiques (DARES) et la délégation générale à l'emploi et à la formation professionnelle (DGEFP).
Les informations sont transmises à des fins de pilotage, d'analyse statistique et d'évaluation.
Ces destinataires n'appellent pas d'observation de la part de la Commission.
Sur l'information et les droits des personnes 
Une information sur l'exercice du droit d'accès sera délivrée par l'employeur aux salariés concernés par le dispositif  Contrat de génération . Il est également indiqué qu'une information figurera sur le formulaire de demande d'aide complété par l'employeur, par lequel ce dernier s'engage à  informer le salarié jeune et le salarié âgé constituant le binôme du bénéfice de l'aide associé au contrat de génération .
La Commission rappelle que l'information délivrée aux salariés concernés par le contrat de génération doit également porter sur l'existence du traitement, sa finalité, ainsi que sur les destinataires des informations, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée.
Or, si une mention conforme aux prescriptions de l'article 32 de la loi figure bien sur le formulaire d'aide, celui-ci est destiné uniquement à l'employeur.
Par conséquent, la Commission estime que l'information délivrée aux salariés n'est pas satisfaisante. Il convient de compléter de compléter le formulaire de demande d'aide destiné aux employeurs afin que celui-ci précise l'obligation, pour ces derniers, d'informer les salariés conformément aux prescriptions de l'article 32 de la loi du 6 janvier modifiée.
L'article 4 du projet de décision du Conseil d'administration de Pôle emploi prévoit que les droits d'accès et de rectification prévus s'exercent auprès de Pôle emploi services.
Enfin, le droit d'opposition est exclu, en application des dispositions de l'article 38, alinéa 3 de la loi du 6 janvier 1978 modifiée qui dispose que ce droit ne s'applique pas  lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement .
Sur les mesures de sécurité
La Commission prend acte du fait que des profils d'habilitation ont été définis et qu'une journalisation des opérations de consultation et de mise à jour des données concernées est réalisée (horodatage, identifiant de l'usager, action).
S'agissant des échanges de données entre les différents acteurs, il est indiqué que ceux-ci s'effectuent dans un espace sécurisé par login et mot de passe. La Commission rappelle à cet égard que les transmissions doivent être effectuées par des canaux sécurisés par l'utilisation de réseaux privés virtuels (VPN) chiffrés, par exemple.
La Commission recommande des mots de passe de huit caractères minimum et de types différents (majuscules, minuscules, chiffres, caractères spéciaux) et un renouvellement régulier de ces derniers (par exemple tous les 3 mois). Concernant les administrateurs, la taille de mot de passe recommandée est d'au moins dix caractères.
Enfin, la Commission estime que la confidentialité d'un message n'est pas assurée dans le cas d'un envoi par courriel. Pour cette raison, la Commission recommande que l'usager modifie son mot de passe reçu par courriel lors de sa première connexion à un service.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le Ministère de l'Economie et des Finances d'une demande d'avis concernant un projet d'arrêté autorisant la création d'un traitement automatisé des demandes d'autorisations de transactions dans le cadre des régimes européens de mesures restrictives ;Vu le traité sur le fonctionnement de l'Union européenne, notamment son article 215 ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu le règlement (UE) n°267/2012 du 23 mars 2012 modifié concernant l'adoption de mesures restrictives à l'encontre de l'Iran ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code des douanes, notamment son article 459 ;
Vu le code monétaire et financier, notamment son article L.561-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ;
Vu l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et notamment son article 14 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu Monsieur Jean-Paul AMOUDRY, commissaire, en son rapport, et Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Sur le fondement de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère de l'économie et des finances d'un projet d'arrêté portant création, par la Direction Générale du Trésor (DGT), d'un téléservice de l'administration ayant pour finalité la mise en place d'une téléprocédure permettant, d'une part, aux usagers d'accomplir en ligne leurs demandes d'autorisations de transactions et, d'autre part, à la DGT d'améliorer la gestion des dossiers de ces demandes. Cette démarche s'inscrit dans le cadre de la règlementation européenne relative aux sanctions financières internationales établissant des mesures restrictives à l'encontre de certains pays.
Sur la finalité du traitement :
Le projet d'arrêté soumis à la Commission prévoit de mettre à la disposition des usagers de l'administration un téléservice dénommé Sanctions Financières Internationales, via un site internet et une application créés par la DGT. 
L'architecture du téléservice  Sanctions Financières Internationales  s'articulera autour de deux systèmes :
- un site internet  sanctions financières internationales  destiné aux utilisateurs professionnels (exportateurs et établissements bancaires) pour se connecter à leur espace personnel, effectuer leur demande en ligne, communiquer avec les gestionnaires, recueillir et archiver la décision validée par l'administration ;
- une application de l'intranet de la DG Trésor dénommée  Gestion Automatisée et Informatisée des Autorisations  (Gaia), à destination des agents du bureau compétent (Multicom3), pour le traitement des demandes d'autorisation, le suivi des dossiers, l'archivage automatique et l'exploitation des données en vue de produire des bilans et statistiques.
L'article 2 du projet d'arrêté prévoit que le traitement a pour fonctions :
1. la collecte, l'exploitation et le stockage des données issues de ces demandes d'autorisations de transactions ;2. la prévention des manquements aux obligations en matière de mise en œuvre des mesures restrictives européennes ;3. la délivrance d'autorisations de transactions dans les cas prévus par les règlements européens portant mesures restrictives ;4. la mise en œuvre d'un téléservice permettant d'effectuer les demandes d'autorisations de transactions par voie électronique ;5. l'élaboration d'analyses sur le commerce extérieur.
La Commission prend acte que la demande d'avis du ministère de l'économie et des finances concerne uniquement la finalité visée au 4°, c'est-à-dire la mise en œuvre d'un téléservice permettant d'effectuer les demandes d'autorisations de transactions par voie électronique.
Les objectifs poursuivis par ce téléservice consistent à rationaliser la procédure de traitement des demandes du fait de l'accroissement des demandes d'autorisations liées aux régimes des sanctions financières internationales (Iran et Syrie notamment).
Dans ce contexte, le développement de deux applications informatiques portant dématérialisation du traitement et de l'archivage de ces demandes a été initié en octobre 2012 pour une première mise en service envisagée au deuxième semestre 2013.
La Commission considère que les finalités du téléservice Sanctions Financières Internationales sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
L'article 3 du projet d'arrêté liste les données à caractère personnel collectées et traitées grâce à l'application Gaïa. 
Plus précisément, il s'agit des données relatives :
1. aux personnes concernées : l'exportateur ou le créancier, l'importateur ou le débiteur partie à la transaction pour laquelle une autorisation est sollicitée, ainsi que le cas échéant, le(s) intermédiaire(s) et utilisateur final de(s) marchandise(s) ou de(s) service(s), et les déclarants ;
2. à la transaction (le moyen de paiement utilisé, le montant et les établissements bancaires parties prenantes) ;
3. aux marchandises (l'intitulé et les caractéristiques techniques, la date et les modalités d'expédition, les démarches administratives d'exportation entreprises).
La Commission considère que les données collectées et traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur la durée de conservation des données :
L'article 4 du projet d'arrêté précise que les données à caractère personnel sont conservées pendant une durée de 5 ans après la levée des mesures restrictives. A cet égard, le délai de prescription de l'action publique attaché au délit prévu par l'article 459 du code des douanes (qui sanctionne le non respect des mesures restrictives) est de 3 ans. Ce délai peut néanmoins être reporté à une date ultérieure en fonction du point de départ du délai de prescription de l'action.
La Commission considère que cette durée de conservation n'excède pas celle qui est nécessaire à l'accomplissement des finalités poursuivies.
Sur les destinataires des données :
Le projet d'arrêté distingue les destinataires habilités à accéder directement aux données (article 5), de ceux qui peuvent simplement en connaître (article 6).
L'article 5 du projet d'arrêté précise à cet égard que sont destinataires de tout ou partie des données à caractère personnel et des informations mentionnées à l'article 3, les agents habilités de la direction générale du Trésor chargés de la gestion des demandes d'autorisations visées à l'article 1 ou de décider de leur issue.
L'article 6 du projet d'arrête indique que peuvent être destinataires de tout ou partie des données à caractère personnel et des informations mentionnées à l'article 3, à raison de leurs attributions respectives et du besoin d'en connaître, les agents habilités de la direction générale des douanes et des droits indirects compétents en matière de contrôle des opérations soumises aux mesures de restriction des relations économiques et financières. 
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données du téléservice Sanctions Financières Internationales.
Sur l'information des personnes et leurs droits d'accès et de rectification:
L'information des personnes concernées sera assurée, dans les conditions prévues par l'article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le site internet de la DGT. 
L'article 7 du projet d'arrêté mentionne que les droits d'accès et de rectification, prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exerceront directement auprès de la direction générale du Trésor (139, rue de Bercy, télédoc 233, 75572 Paris cedex 12).
La Commission prend acte que le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au présent traitement.
Sur la sécurité des données et la traçabilité des actions :
La Commission rappelle que, conformément à l'article 14 de l'ordonnance n°2005-1516 du 8 décembre 2005, la conformité du présent télé-service au référentiel général de sécurité (RGS) doit être assurée avant sa mise en œuvre.
Elle relève également qu'une journalisation des accès au télé-service est réalisée et conservée pendant une durée d'un an, afin de détecter d'éventuels comportements suspects. 
Les autres mesures de sécurité mises en place n'appellent pas d'observation.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, Saisie par le Haut Conseil du Commissariat aux Comptes (H3C) d'une demande d'autorisation concernant le transfert à son homologue américain, le Public Company Accounting Oversight Board (PCAOB), de données à caractère personnel contenues dans des informations et/ou des documents d'audit relatifs aux contrôleurs légaux des comptes qui relèvent de leur double supervision, ou collectées à l'occasion de contrôles conjoints dans une période se terminant au 31 juillet 2016 ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la directive 2006/43/CE du Parlement européen et du Conseil du 17 mai 2006 concernant les contrôles légaux des comptes annuels et des comptes consolidés ;Vu le code de commerce, notamment ses articles L. 821-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 69, alinéa 8 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la décision 2010/485/UE de la Commission européenne
du 1er septembre 2010 relative à l'adéquation des autorités compétentes de l'Australie et des Etats-Unis d'Amérique conformément à la directive 2006/43/CE du Parlement européen et du Conseil ;Vu la décision d'exécution de la Commission européenne du 11 juin 2013 relative à l'adéquation des autorités compétentes des États-Unis d'Amérique conformément à la directive 2006/43/CE du Parlement européen et du Conseil ;
Vu la délibération n°2009-674 du 26 novembre 2009 portant délégation d'attributions de la Commission nationale de l'informatique et des libertés à son Président et à son Vice-président délégué, notamment son dernier alinéa ;Vu la délibération n° 2012-415 du 29 novembre 2012 autorisant le Haut Conseil du Commissariat aux Comptes à transférer à son homologue américain des données à caractère personnel contenues dans des informations et/ou des documents d'audit relatifs aux contrôleurs légaux des comptes qui relèvent de leur double supervision, ou collectées à l'occasion de contrôles conjoints dans une période se terminant au 31 juillet 2013 ;Vu les éléments du dossier de demande d'autorisation, notamment les projets d'avenants aux accords rédigés par le Haut Conseil du Commissariat aux Comptes et le Public Company Accounting and Oversight Board aux fins d'encadrer les transferts susvisés ;Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Adopte l'autorisation suivante :
Des transferts de données à caractère personnel sont susceptibles d'avoir lieu dans le cadre des actions de coopération entre le Haut Conseil du Commissariat aux Comptes (H3C) et son homologue américain, le Public Company Accounting Oversight Board (PCAOB).Ces actions s'inscrivent dans le cadre de la coopération prévue par les textes européens relatifs au contrôle des comptes annuels et des comptes consolidés - en l'occurrence, les dispositions de la Directive 2006/43/CE, dite  Huitième directive , dont l'article 47 dispose que,  sous certaines conditions , un Etat membre peut autoriser la communication à l'autorité compétente d'un Etat tiers de documents d'audit ou d'autres documents détenus par les contrôleurs légaux des comptes. Ces conditions sont au nombre de trois :- L'adoption d'une décision d'adéquation octroyée par la Commission européenne au système de supervision étranger ; - le respect du chapitre 4 de la Directive 95/46 relative à la protection des données ; - la conclusion d'un accord de coopération entre les autorités compétentes.La Commission européenne a adopté la décision d'adéquation requise le 1er septembre 2010. A titre exceptionnel, il a été considéré que le cadre juridique ainsi constitué rendait possible le déroulement d'inspections communes entre les autorités nationales de l'Union européenne, dont le H3C, et le PCAOB. L'envoi de documents dans le cadre d'une coopération classique se double donc, de manière transitoire, par la faculté d'organisation
d'enquêtes conjointes sur le sol français, qui pourront conduire à la communication de documents à l'autorité américaine.Dans ce contexte, le H3C et le PCAOB ont conclu un accord de coopération le 31 janvier 2013, dans l'objectif de mener de premières inspections conjointes dans le courant du premier semestre 2013, avant l'expiration de la décision d'adéquation de la Commission européenne au 31 juillet 2013.A cet accord de coopération global (dit  SOP ) est annexé un accord relatif aux transferts de données à caractère personnel, également signé des deux parties. Ces deux accords comportent de nombreuses garanties pour les personnes dont les données sont susceptibles d'être transférées. Au vu de celles-ci, la Commission avait délivré au H3C une autorisation de transférer des données concernées au PCAOB sur le fondement de l'article 69 alinéa 8 de la loi du 6 janvier 1978 modifiée.Sur la base des deux accords conclus le 31 janvier 2013, une première inspection conjointe a pu se dérouler du 19 au 30 mai 2013.Cependant, la décision d'adéquation de la Commission européenne, susvisée, ainsi que les deux accords conclus entre les deux autorités et la décision de la Commission en date du 29 novembre 2012 viennent à échéance le 31 juillet prochain.Or le H3C souhaite non seulement achever le contrôle en cours mais encore poursuivre sa collaboration avec le PCAOB au-delà de cette date.Dans ce contexte, le Haut Conseil demande à la Commission de proroger les effets de sa précédente