AgentPublic/cnil huggingface dataset:
Gestion des procédures d’autorisation, par le personnel habilité en interne, de prestations de services envisagées pour des clients auxquels ces prestations par les entités du réseau mondial PricewaterhouseCoopers (« PwC ») sont limitées au regard des règles d’indépendance applicable aux professionnels du réseau PwC, à l’aide d’une application informatisée dénommée « Authorisation for services (AFS) ».
Catégories de données transférées
Données d’identification :
nom, prénom, fonction et coordonnées professionnelles du demandeur de l’autorisation et des différents contacts concernant la mission et son approbation
Identité(s) du(des) destinataire(s)
Les personnels habilités de la société PricewaterhouseCoopers LLP330 Madison Avenue, New YorkNew York 10017-6204, USALes personnels habilités des entités membres du réseau mondial PricewaterhouseCoopers signataires de l’ « International Intra-Group Agreement ».
Pays et territoires d’établissement du destinataire
Chine,
Hong Kong,
Japon,
Corée,
Macao,
Malaisie,
Cambodge,
Vietnam,
Laos,
Etats-Unis d’Amérique,
Philippines,
Singapour,
Taiwan,
Thaïlande,
Angola,
Aruba,
Botswana,
Cameroun
Tchad,
Congo,
Côte d’Ivoire,
Zaïre,
Gabon,
Ghana,
Guinée,
Kenya,
Madagascar,
Malawi,
Ile Maurice,
Mozambique,
Namibie,
Nigeria,
Sénégal,
Afrique du Sud,
Swaziland,
Tanzanie,
Zambie,
Zimbabwe,
Australie,
Iles Fidji,
Indonésie,
Nouvelle Calédonie,
Nouvelle Zélande,
Papouasie Nouvelle-Guinée,
Polynésie Française,
Canada,
Bahamas,
Barbade,
Bermudes,
Iles Caïman,
Jamaïque,
Sainte-Lucie,
Trinidad et Tobago,
Albanie,
Arménie,
Azerbaïdjan
Bosnie Herzégovine,
Croatie,
Géorgie,
Kazakhstan,
Macédoine,
Moldavie,
Russie,
Serbie,
Ukraine,
Ouzbekistan,
Israël,
Norvège,
Suisse,
Turquie,
Tunisie,
Argentine,
Bolivie,
Brésil,
Chili,
Colombie,
Equateur,
Paraguay
Uruguay
Pérou,
Vénézuela,
Bahrein,
Egypte,
Gibraltar,
Islande,
Inde,
Jordanie,
Koweit,
Liban,
Lybie,
Sultanat d’Oman,
Pakistan,
Qatar,
Arabie Saoudite,
Emirats arabes unis,
Gaza,
Yémen
Mexique,
Salvador,
Honduras,
Costa Rica,
République Dominicaine,
Guatemala,
Nicaragua,
Panama
Service auprès duquel s’exerce le droit d’accès des personnes concernées
PRICEWATERHOUSECOOPERS AUDIT CALEDONIE6 rue Jean JaurèsBP 4049 - 98 846 NOUMEA CEDEX Nouvelle-Calédonie
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat multilatéral intra-groupe dénommé "International Intra-Group Agreemen" signé par l'ensemble des entités membres du réseau mondial PriocewaterhouseCoopers reprenant les clauses contractuelles européennes issues de la décision 2002/16/CE de la Commission européenne du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant et de la 2004/915/CE de la Commission européenne du 27 décembre 2004 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président,
 Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire adjointe du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société UNIQLO France à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
UNIQLO FRANCE
Finalité du transfert
Conservation et archivage des emails des salariés. 
Catégories de données transférées
Nom, prénom, email, numéro de téléphone, numéro de fax, fonction dans l’entreprise
Identité(s) du(des) destinataire(s)
FAST RETAILING CO. Ltd
Pays d’établissement du(des) destinataire(s)
Japon
Service auprès duquel s’exerce le droit d’accès des personnes concernées
UNIQLO FRANCEService informatique17, avenue de l’Opéra75001 PARIS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat reprenant les clauses contractuelles européennes issues de la décision 2001/497/CE du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment ses articles 68 et 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire adjointe du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments, la société FR FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
FR FRANCE
Finalité du transfert
Conservation et archivage des emails des salariés. 
Catégories de données transférées
Nom, prénom, email, numéro de téléphone, numéro de fax, fonction dans l’entreprise
Identité(s) du(des) destinataire(s)
FAST RETAILING CO. Ltd
Pays d’établissement du(des) destinataire(s)
Japon
Service auprès duquel s’exerce le droit d’accès des personnes concernées
FR FranceService informatique17, avenue de l’Opéra75001 PARIS
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Contrat reprenant les clauses contractuelles européennes issues de la décision 2001/497/CE du 15 juin 2001 concernant les transferts de responsable de traitement à responsable de traitement.
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 69 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la déclaration n° 1391803 ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Autorise, dans les conditions définies dans le dossier et ses compléments,  LOGICA TRAINING FRANCE à mettre en œuvre un transfert de données à caractère personnel hors de l’Union Européenne, dont les caractéristiques sont résumées dans le tableau ci-dessous. 
Société responsable du transfert
LOGICA TRAINING FRANCE
Finalité du transfert
Gestion de candidatures
Catégories de données transférées
Fiche candidat :
Nom, prénom, 
Date de naissance (facultative),
N° de téléphone obligatoire, 
Adresse postale (facultative),
Niveau d’études – diplôme, écoles obligatoires – formation complémentaire (facultative) 
CV
I Catégories de personnes concernées par le transfert
- Les candidats qui postulent à des salons et des forums,- Tous les candidats jeunes diplômés et stagiaires qui ont postulé via une candidature spontanée uniquement 
Identité(s) du(des) destinataire(s)
Les personnes habilitées au sein LOGICA NORTH AFRICA SASBâtiments Shore 5, 2ème étage, Casablanca Nearshore Park,1100 Bd Al Qods, Quartier Sidi Maârouf, CASABLANCA
Pays d’établissement du(des) destinataire(s)
MAROC
Service auprès duquel s’exerce le droit d’accès des personnes concernées
LOGICA TRAINING FRANCE
Nature des garanties mises en œuvre par le destinataire des données pour assurer un niveau de protection suffisant au regard de la protection des données transférées
Clauses contractuelles européennes issues de la décision de la Commission européenne n° 95/46/CE du 27 décembre 2001 concernant les transferts de responsable de traitement à sous-traitant
Le Président,
 Alex TURK
(Demande d’avis n°09015405)
La Commission nationale de l’informatique et des libertés ; 
Saisie par le Ministère de l’Ecologie, de l’Energie, du Développement durable et de l’Aménagement du territoire d’un projet d’arrêté portant modification de l’arrêté du 2 juillet 1982 relatif aux transports en commun de personnes et portant création de l’obligation d’équipement d’éthylotest anti-démarrage (EAD) pour le transport en commun d’enfants ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/ CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le code de la route, notamment son article R234-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitement de données à caractère personnel, et notamment son article 11-2-d ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret  n° 2007-451 du 25 mars 2007 ;
Vu l’arrêté du 2 juillet 1982 relatif aux transports en commun de personnes ;
Après avoir entendu M. Emmanuel de GIVRY, Vice-Président délégué, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement en ses observations ;
Emet l’avis suivant :
Le Ministère de l’Ecologie, de l’Energie, du Développement durable et de l’Aménagement du territoire a saisi la CNIL, le 15 juin 2009, d’un projet d’arrêté portant modification de l’arrêté du 2 juillet 1982 relatif aux transports en commun de personnes. 
La Commission relève que dès février 2008, le Comité interministériel sur la sécurité routière a décidé dans le cadre du renforcement de la lutte contre les risques liés à l’alcool, que les véhicules affectés aux transports en commun d’enfants devraient être équipés d’éthylotest anti-démarrage (EAD) à compter de la rentrée scolaire 2009 à titre expérimental puis de façon pérenne en janvier 2010. Ce dispositif sera ensuite généralisé, à compter du 1er septembre 2015, à l’ensemble du secteur du transport en commun de personnes. 
Il ressort de la documentation technique fournie par le ministère à la CNIL que l’EAD est un dispositif qui, en cas de taux d’alcoolémie égal ou supérieur à un taux prédéfini de concentration d’alcool par litre de sang (analyse d’un échantillon d’haleine), empêche le démarrage du véhicule.
A chaque démarrage, le conducteur souffle dans l’EAD et dispose d’un délai de cinq minutes pour mettre en route le véhicule. Si le test est positif, il est possible de faire un nouvel essai au bout de dix minutes. Si le test reste positif, l’EAD bloque le démarrage pendant trente minutes. 
Le démarrage du car reste toutefois toujours possible sans qu'il soit nécessaire de souffler dans l'EAD selon les trois modalités suivantes : par le moteur, par une clé détenue par le chauffeur ou par un code détenu par l’employeur. Tout démarrage sans utilisation de l’EAD sera tracé par le dispositif.
Après un arrêt du moteur, le véhicule peut redémarrer sans que son conducteur ait à utiliser l’EAD, dans un délai fixé par l’exploitant de transport, compris entre 15 à 30 minutes.  
Sur la finalité du dispositif EAD 
Il ressort de l’ensemble des documents techniques communiqués à la CNIL, et particulièrement du rapport du groupe de travail du Conseil National des Transports, que « l’EAD est un moyen de prévention et non de contrôle » et que « les éventuelles conséquences de son usage ne peuvent donner lieu à sanction ». 
La Commission prend par conséquent acte de la finalité préventive des installations des éthylotests anti-démarrage et note avec intérêt le fait que cette finalité soit précisée dans le projet d’arrêté. 
Sur les données collectées et enregistrées par le dispositif EAD 
Les données collectées sont les suivantes :
la trace informatique des blocages de l’EAD ;
la trace informatique des démarrages sans utilisation de l’EAD : démarrage par le moteur, par une clé ou par un code ;
l’horodatage des évènements ;
le numéro de l’EAD ;
le taux exact d’alcoolémie en cas de test positif. 
Sur la collecte de données susceptibles de constituer des infractions pénales 
Il importe de définir un seuil (taux au-delà duquel le véhicule ne démarre pas) qui soit inférieur au taux maximal autorisé, soit strictement inférieur à 0,20 g/l de sang, conformément à l’article R234-1 du code de la route. En effet, à défaut, la simple information du dépassement du seuil serait susceptible de constituer, si elle était couplée avec les démarrages manuels, un fichier d’infractions.
Compte tenu de la marge d’incertitude constatée lors des tests réalisés par le ministère, ce dernier a choisi de régler l’EAD sur 0,20 g/l de sang. Aussi, il apparaît à la Commission que le taux fixé par le ministère est bien de nature à faire apparaître le dépassement du taux légal autorisé, de sorte qu’en cas de démarrage manuel, le dépassement constituerait une infraction. 
Or l’article 9 de la loi du 6 janvier 1978 modifiée interdit à toute personne morale de droit privé de mettre en œuvre un traitement de données à caractère personnel relatif à des infractions.
La Commission considère par conséquent que, en l’état du droit positif et en l’absence de base légale, il convient de retenir un seuil qui ne permet pas à l’exploitant de transport de savoir si le seuil de 0,20 g/l de sang a été atteint ou dépassé. 
De plus, la collecte du taux exact d’alcoolémie est également susceptible de faire apparaître une infraction au code de la route, dans l’hypothèse d’un démarrage manuel du moteur suite à un souffle positif sur l’EAD. 
Aussi, en l’absence de dispositions législatives spécifiques autorisant la collecte du taux exact d’alcoolémie, la Commission estime que cette information ne devrait pas être enregistrée dans l’EAD. Toutefois, sur ce point, la Commission relève que, dans le cadre de l’examen par l’Assemblée nationale du projet de loi relatif à l’organisation et à la régulation des transports ferroviaires et portant diverses dispositions relatives aux transports, un amendement gouvernemental a été adopté le 22 septembre 2009 tendant à conférer une base légale à l’enregistrement du taux exact d’alcoolémie dans le traitement. 
Sur la pertinence de la collecte et de l’enregistrement du taux exact d’alcoolémie 
La Commission s’interroge également sur la nécessité de collecter le taux exact d’alcoolémie pour une finalité préventive et sur l’intérêt pour l’employeur d’avoir accès au dépassement du seuil au regard de l’utilisation qui peut être faite du dispositif.
A ce titre, l’article 6 de la loi Informatique et Libertés prévoit qu’ « un traitement ne peut porter que sur des données à caractère personnel qui sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ».
Aussi, la Commission considère que l’enregistrement et a fortiori la conservation de l’information relative au taux exact d’alcoolémie, n’apparaissent ni pertinentes, ni proportionnées, au regard de l’article précité.  
En effet, dès lors que la finalité du dispositif est relative à la prévention routière, et non à des fins disciplinaires, l’enregistrement du taux et la transmission au transporteur des informations relatives au dépassement du seuil, n’apparaissent pas nécessaires. 
Par conséquent, la Commission estime que seules les traces des démarrages sans utilisation de l’EAD, horodatées et associées au numéro de l’EAD, devraient être enregistrées et transmises à l’employeur. Ce point pourrait utilement être rappelé dans le cahier des charges techniques. 
Sur les destinataires des informations issues du dispositif EAD 
Seuls les responsables des services de transport et les personnes nommément désignées par eux, devraient avoir connaissance des informations enregistrées dans l’EAD, c’est-à-dire les traces des démarrages sans utilisation de l’EAD, horodatées et associées au numéro de l’EAD. Ce point pourrait utilement être rappelé dans le cahier des charges techniques.
Sur les durées de conservation configurées dans le dispositif EAD 
La Commission prend acte que les informations seront stockées sur l’EAD pour une durée de 45 jours dans la mesure où certains véhicules de transport scolaire ne rentrent sur le site d’exploitation qu’au bout de plusieurs semaines. 
Sur la sécurité du dispositif EAD 
La Commission relève que les données seront chiffrées sur l’EAD, puis stockées chiffrées sur les serveurs de l’employeur, après téléchargement à partir d’un logiciel dédié qui en permet l’exploitation. Ce logiciel sera conçu par les fabricants et permettra de déchiffrer les données au moyen de codes d’accès que les fabricants devront adresser aux responsables désignés des entreprises. 
La Commission prend note que dans le cadre de ce projet, les fournisseurs se sont engagés à modifier les logiciels permettant d’accéder au contenu des EAD, afin d’empêcher le téléchargement des taux d’alcoolémie. Toutefois, la Commission s’interroge sur la possibilité de recourir à une version du logiciel non modifiée, utilisée à l’étranger, permettant ainsi d’accéder aux taux d’alcoolémie.
La Commission regrette qu’ait été privilégié une solution visant à modifier le logiciel de lecture de l’EAD plutôt qu’une solution visant à modifier l’éthylotest lui-même de manière à ce qu’il n’enregistre pas cette information.
Sur l’information et le droit d’accès des personnes 
Aucun élément n’a été fourni à la Commission sur ce point.
La Commission rappelle qu’il appartiendra aux responsables de traitement, c’est-à-dire aux exploitants de transport, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, d’informer les conducteurs préalablement à la mise en œuvre du traitement : 
de l’identité du responsable du traitement et, le cas échéant de celle de son représentant ; 
de la finalité poursuivie par le traitement auquel les données sont destinées ; 
des destinataires ou catégories de destinataires des données ;
de l’existence des droits d’accès, de rectification et d’opposition. 
A toutes fins utiles, la Commission rappelle qu’en application des dispositions du code du travail, chaque salarié concerné devra être individuellement informé de l’existence du dispositif EAD. Le comité d'entreprise devra également être informé et consulté. 
Sur les formalités préalables à la mise en œuvre du dispositif EAD 
La Commission rappelle que chaque exploitant de transport utilisant les éthylotests anti-démarrage devra faire parvenir à la Commission un dossier de formalités, préalablement à la mise en œuvre du dispositif. 
Le Président 
Alex TURK
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 91/308/CE du Conseil du 10 juin 1991 modifiée relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le Code de procédure pénale, et notamment ses articles L. 529-3 à 529-5 et R. 49 à 49-8 ; 
Vu la loi du 15 juillet 1845 relative à la police des chemins de fer modifiée par la loi du 15 novembre 2001 relative à la sécurité quotidienne, et notamment son article 24-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment les articles 9 et 25-I-3° ;
Vu le décret n° 730 du 22 mars 1942 portant règlement d'administration publique sur la police, la sûreté et l'exploitation des voies ferrées d'intérêt général et d'intérêt local, notamment ses articles 80-3 à 80-8, modifié par le décret n° 86-1045 du 18 septembre 1986 en son article 3 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978 modifiée par la loi n° 2004-810 du 6 août 2004 ;
Vu l'arrêté du 1er octobre 1986 relatif au procès-verbal d'infraction à la police des services publics de transports ferroviaires et des services de transports publics de personnes réguliers et à la demande ;
Sur le rapport de M. Emmanuel de GIVRY, Vice-Président délégué, et les observations de  Mme Elisabeth ROLIN, commissaire du gouvernement ;
Formule les observations suivantes :
La modification du traitement de données à caractère personnel soumis par la SNCF à l’examen de la Commission doit permettre le contrôle des titres de transport, y compris les titres dématérialisés, à l’aide d’un assistant électronique dénommé « accelio ».
En cas d'infraction à la police des services publics de transport terrestre, la SNCF est destinataire des procès-verbaux établis par les personnes habilitées en vertu de l'article 23 de la loi du 15 juillet 1845, modifiée qui dispose que « les crimes, délits ou contraventions prévus par les titres Ier et III de la présente loi, ainsi que les contraventions prévues par les textes réglementaires relatifs à la police, la sûreté et l'exploitation des voies ferrées, pourront être constatés par des procès-verbaux dressés concurremment par les officiers de police judiciaire, les ingénieurs des ponts et chaussés et des mines, les conducteurs, gardes mines, agents de surveillance et gardes nommés ou agréés par l'administration et dûment assermentés […] ». Pour dresser ces procès-verbaux, la SNCF dispose d'agents habilités à constater les infractions et assermentés dans les conditions prévues par l'article 23 de la loi de 1845. Ces agents établissent des procès-verbaux de constatation de l'infraction, dont le modèle est fixé par un arrêté conjoint du garde des sceaux, ministre de la justice, et du ministre chargé des transports.