AgentPublic/cnil huggingface dataset:
Les données à caractère personnel concernées par le transfert sont les données décrites précédemment contenues dans les documents d'archives.
Sur les garanties mises en œuvre par le destinataire des données
Les garanties mises en œuvre sont formalisées par l'insertion de clauses contractuelles élaborées par la Commission européenne et relatives au transfert de données du responsable de traitement vers le sous-traitant.
En conséquence, la Commission autorise la société FamilySearch International à mettre en œuvre les traitements suivants :
• la conservation, aux fins de publication des données sur le site  FamilySearch.org  des actes d'État civil et des documents de recensement dans les conditions décrites ci-dessus, en application de l'article 36 alinéa 3 de la loi du 6 janvier 1978 modifiée ;• le transfert vers les États-Unis de données à caractère personnel dont les caractéristiques sont énoncées ci-dessus, en application de l'article 69 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté autorisant la création d'un traitement de données à caractère personnel ayant pour finalité la vidéosurveillance des locaux abritant la zone protégée du service du haut fonctionnaire de défense placé auprès du ministre de l'économie et des finances ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-l (1°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 30 novembre 2011 portant approbation de l'instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale ;Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie pour
avis le 11 octobre 2012 par le ministère de l'économie et des finances d'un projet d'arrêté portant autorisation d'un traitement de données à caractère personnel relatif à la vidéosurveillance des locaux abritant la zone protégée du service du haut fonctionnaire de défense placé auprès du ministère de l'économie et des finances.Le système de vidéosurveillance numérique filmant des espaces non ouverts au public dans les locaux du haut fonctionnaire de défense et de sécurité constitue un traitement automatisé de données à caractère personnel, au sens de la loi du 6 janvier 1978 modifiée.Il y a lieu de faire application des dispositions de l'article 26-I (1°) de la loi du 6 janvier 1978 modifiée qui soumet à autorisation, par arrêté ministériel pris après avis, motivé et publié, de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et intéressant la sûreté de l'Etat, la défense ou la sécurité publique.
Sur la finalité du traitement
Le projet d'arrêté précise que le haut fonctionnaire de défense et de sécurité placé auprès du ministre de l'économie et des finances occupe une zone protégée.Ledit bâtiment n'est pas accessible au public et est protégé, outre le dispositif de vidéosurveillance projeté, par des dispositifs de sécurité physique destinés à limiter les risques d'effraction et d'intrusion d'une personne non autorisée.Le dispositif a pour finalité la protection des locaux abritant des informations ou des supports présentant un caractère de secret de la défense nationale.La commission prend acte que les caméras du dispositif seront orientées vers les points d'entrée et de sortie de la partie protégée et ne filmeront pas la voie publique ni des espaces ouverts au public.La commission prend acte que le dispositif ne comporte aucun système automatisé de reconnaissance faciale à partir des images collectées ni de captation du son.Compte tenu des garanties ainsi apportées, la commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur la durée de conservation des données
Les enregistrements visuels numériques sont conservés pour une durée d'un mois et sont automatiquement effacés au bout de ce délai s'ils n'ont pas fait l'objet d'une transmission à l'autorité judiciaire.La commission considère que cette durée est conforme à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données
La consultation des images n'est réalisée qu'après le déclenchement du système d'alarme, indépendant du dispositif de vidéosurveillance. Ainsi, en cas d'intrusion ou d'infraction, les images sont consultées pour identifier la personne dont la présence et les agissements ont entraîné le déclenchement de l'alarme.L'article 3 du projet d'arrêté précise que seuls ont accès aux données à caractère personnel, en fonction de leurs attributions respectives et du besoin d'en connaître, le responsable sécurité du lieu et le responsable informatique du service. Cet article n'appelle pas d'observation de la part de la commission.
Sur l'information des personnes
L'information des personnes concernées par la mise en œuvre du dispositif de vidéosurveillance est réalisée auprès des agents lors de leur affectation dans les locaux inscrits en zone protégée.En tout état de cause, l'information individuelle des personnes doit contenir les finalités poursuivies par le dispositif et les modalités d'exercice des droits d'accès et de rectification des personnes concernées. Cette information des personnes doit également être réalisée par voie d'affichage visible par toutes les personnes entrant dans la zone vidéosurveillée.
Sur les droits d'accès, de rectification et d'opposition des personnes
Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du responsable de traitement, à savoir le haut fonctionnaire de défense et de sécurité, en application du dernier alinéa de l'article 41 de ladite loi.Le droit d'opposition ne s'applique pas au présent traitement, conformément au dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions
L'enregistreur des images est installé dans une zone réservée au sein de la zone protégée vidéosurveillée qui est d'accès restreint. Le serveur de stockage des données n'est accessible que par le responsable sécurité et le responsable informatique.L'accès des destinataires au traitement est sécurisé par un identifiant et un mot de passe individuel, transmis par le responsable informatique.Enfin, les données de journalisation sont conservées pour une durée de trente jours glissant, suivant la même durée de conservation que les données à caractère personnel traitées.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,Saisie par le ministre délégué auprès du ministre de l'économie et des finances, chargé du budget, d'une demande d'avis concernant un projet d'arrêté portant création des téléservices  Déclaration de récolte ,  SV11 ,  SV12 ,  Déclaration de stock ,  OENO ,  DOSPROV , composant le traitement automatisé dénommé  NCVI  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques â l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités
administratives ;Vu l'arrêté du 4 avril 2005 relatif à un système automatisé portant organisation du casier viticole informatisé en France ;Vu l'arrêté du 24 octobre 2005 portant création d'un traitement automatisé d'informations nominatives relatif à l'ouverture d'un site internet dénommé PRODOUANE ;Sur la proposition de M. Didier CASSE, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie par la direction générale des douanes et droits indirects (DGDDI) d'une demande d'avis sur un projet d'arrêté concernant la mise en œuvre d'un bouquet de six téléformulaires disponibles dans un espace dénommé  NCVI  accessible depuis le portail PRODOUANE.La commission considère qu'il y a lieu de faire application des dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation par arrêté ministériel pris après avis motivé et publié de la commission, les traitements mis en œuvre par l'Etat ou des personnes morales de droit public  aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques .
Sur la finalité du traitement :Le traitement NCVI a vocation à permettre aux exploitants vitivinicoles de saisir et de déposer par voie électronique leurs déclarations de récoltes, de production, de stock et de pratiques œnologiques ainsi que de consulter leurs obligations de distillation des sous-produits de la vinification.Il vise également à répondre au principe posé par l'organisation communautaire des marchés agricoles dans le secteur vitivinicole, à savoir disposer d'une connaissance appropriée de la production, avec transmission des informations ainsi recueillies à la Commission européenne conformément aux règlements communautaires en vigueur.En outre, le traitement permet à la DGDDI et la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) de consulter et de modifier (sous certaines conditions), les données télédéclarées par les exploitants vitivinicoles ainsi que de saisir les déclarations reçues sur formulaire papier.Plus précisément, les téléservices concernés sont les suivants :- le téléservice dénommé  Déclaration de récolte  permet aux récoltants de raisin de déposer leur déclaration de récolte et aux récoltants producteurs de vins de déposer leurs déclarations de récolte et de production. Il permet également aux caves coopératives de déposer, au nom et pour le compte des récoltants qui leur ont donné mandat, tout ou partie de leur déclaration de récolte. Il permet enfin au comité interprofessionnel du vin de
Champagne (CIVC), au conseil interprofessionnel des vins d'Alsace (CIVA) et au Bureau national interprofessionnel du Cognac (BNIC) de transférer à l'administration des douanes, les déclarations de récolte spécifiques qu'ils ont recueillies auprès de leurs ressortissants en application de l'article 4 de l'arrêté du 4 avril 2005 susvisé ;- le téléservice dénommé  SV11  permet aux caves coopératives de déposer leur déclaration de production ;- le téléservice dénommé  SV12  permet aux négociants vinificateurs et aux élaborateurs de produits dérivés de déposer leur déclaration de production ;- le téléservice dénommé  OENO  permet aux récoltants de vinificateurs, aux caves coopératives, aux négociants vinificateurs et aux entreprises de négoce de déposer leurs déclarations de pratiques œnologiques ;- le téléservice dénommé  Déclaration de stock  permet aux récoltants producteurs de vins et de produits vitivinicoles, aux caves coopératives et aux bailleurs stockeurs de déposer leur déclaration de stock ;- le téléservice dénommé  DOSPROV  permet aux récoltants, aux récoltants vinificateurs, aux négociants vinificateurs, aux élaborateurs de produits dérivés et aux caves coopératives de consulter en ligne leurs obligations de distillation des sous-produits de la vinification, le détail du mode de calcul des quantités et de transmettre ces informations à la ou les distilleries agréées de leur ressort territorial. Il permet également aux récoltants d'éditer les notifications pour leurs
bailleurs à fruits et bailleurs à stockeurs qui ne disposent pas d'un accès au téléservice.Au regard de ce qui précède, la commission estime que les finalités du traitement sont déterminées, explicites et légitimes au sens de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.Sur les données traitées :Les données traitées pour chacun des téléservices sont mentionnées à l'article 3 du projet d'arrêté.Pour les données d'identification des professionnels concernés, sont principalement concernés : le nom ou la raison sociale, le numéro SIREN, le numéro de casier viticole informatisé (CVI), les caractéristiques des parcelles viticoles et la nature des exploitations.Des données d'ordre économique et financier relatives par exemple aux volumes récoltés, aux stocks et plus généralement aux productions de richesses sont également recueillies.La commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.Sur les destinataires :Ont accès à la totalité ou à une partie des données mentionnées à l'article 3, à raison de leurs attributions :- les agents de la DGDDI, de la DGCCRF et de la DGFIP ;- les agents des services du ministère de l'agriculture, de l'alimentation, de la pêche et de la ruralité (MAAPR) chargés d'études économiques et statistiques et du suivi du secteur vitivinicole ;- les agents de la direction générale des politiques économiques, européenne et internationale du ministère de l'agriculture contribuent à
assurer la cohérence du NCVI avec les réglementations communautaires ;- les agents de rétablissement national des produits de l'agriculture et de la mer (FranceAgriMer) et les agents de l'Institut national de l'origine et de la qualité (INAO).La commission relève que tous ces agents font l'objet d'une désignation individuelle et d'une habilitation spéciale par leur responsable hiérarchique et que les personnes chargées du recueil et du traitement sont en nombre limité.Elle considère que ces destinataires ont un intérêt légitime à accéder aux données du traitement dénommé  NCVI .Sur la durée de conservation des données :Conformément aux prescriptions communautaires, les données des déclarations de récolte, de production, de pratiques œnologiques et de stock sont conservées durant les quatre campagnes vitivinicoles qui suivent la date de dépôt de la déclaration correspondante par l'exploitant vitivinicole.De même, les données relatives à la distillation obligatoire des sous-produits de la vinification sont conservées durant les trois campagnes vitivinicoles qui suivent la date de notification des quantités à distiller.La commission considère que les durées de conservation sont proportionnées au regard des finalités du traitement.Sur les droits des personnes concernées :La commission relève qu'une mention d'information, conforme aux dispositions de l'article 32 de la loi du B janvier 1978 modifiée, est portée sur les formulaires d'adhésion et que la page  webmestre  du portail
PRODOUANE.Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du service de la DGDDI chargés de la gestion des activités vitivinicoles dans le ressort duquel se situe le siège de l'exploitation ou de l'entreprise.Le droit d'opposition prévu par l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au présent traitement.Sur la sécurité des données et la traçabilité des actions :La commission constate que la traçabilité des actions effectuées par les utilisateurs du traitement est assurée, de même que la sécurité des postes de travail et du réseau ainsi que des sauvegardes.Elle relève en outre que la connexion aux applications  NCVI  est effectuée via un protocole sécurisé de type HTTPS, ce qui garantit la confidentialité des données échangées, et que seuls les agents spécifiquement habilités ont accès au traitement.La commission rappelle néanmoins que la mise en ligne des téléservices doit respecter les dispositions relatives au référentiel général de sécurité (RGS), créé par l'article 9 de l'ordonnance n° 2005-1516 du 8 décembre 2005. En particulier, en matière d'authentification, un système de hachage avec clé secrète (dit HMAC) doit être mis en place conformément au RGS.La commission prend acte que les données contenues dans le NCVI circulent exclusivement sur le territoire français et ne sont communicables qu'à des destinataires établis sur le territoire français, et que le
sous-traitant ne dispose pas d'un accès aux données traitées par les applications hébergées sur son serveur.Enfin, elle observe que l'usager se connecte aux téléservices au moyen d'une authentification forte, en l'espèce en utilisant un mot de passe composé d'un minimum de huit caractères et d'une complexité suffisante.L'ensemble de ces mesures visent à empêcher toute utilisation détournée ou frauduleuse des données ou que des tiers non autorisés y aient accès et sont conformes aux dispositions de l'article 34 de loi du 6 janvier 1978 modifiée.
La Commission nationale de l'informatique et des libertés,Saisie par l'Agence de mutualisation des universités et établissements d'enseignement supérieur ou de recherche et de support à l'enseignement supérieur ou à la recherche (Amue) d'une demande d'avis concernant un projet de décision relative au traitement de gestion de la scolarité des étudiants mis à disposition par l'Amue ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de l'éducation nationale, notamment les dispositions du Livre Ier, Première Partie, Titre II chapitre 3 et celles des Livres VI, VII, hormis le Titre III, et VIII de la Troisième Partie ; Vu le code de la sécurité sociale, notamment l'article L. 381-6 ;Vu la loi n° 51-711 du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière statistique ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II-2°, 27-II-4° et 27-III°;Vu l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;Vu le décret n° 71-1105 du 30
décembre 1971 relatif à la création de chancelleries modifié par le décret n° 2002-520 du 10 avril 2002 et le décret n° 205-436 du 9 mai 2005 ; Vu le décret n° 94-1089 du 12 décembre 1994 relatif à l'utilisation du numéro d'inscription au Répertoire national d'identification des personnes physiques par le ministère chargé de l'enseignement supérieur ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 12 décembre 1994 portant création, par le ministère chargé de l'enseignement supérieur et de la recherche, d'une application nationale de traitement automatisé d'informations nominatives réalisée par la direction de l'évaluation et de la prospective et dénommée Système d'information sur le suivi de l'étudiant (S.I.S.E.), ensemble l'arrêté du 23 avril 2003 ;
Vu l'arrêté du 26 janvier 1995 portant création d'une application informatique nationale de gestion des enseignements et des étudiants et l'avis de la Commission nationale de l'informatique et des libertés en date du 20 décembre 1994 portant le numéro 94-115 sur le projet d'arrêté ;
Vu la délibération n° 94-115 du 20 décembre 1994 portant avis concernant la mise en œuvre d'un système automatisé d'informations nominatives dénommé "APOGEE", par les établissements publics d'enseignement supérieur relevant du ministère de l'enseignement supérieur et de la recherche Après avoir entendu M. Eric PERES, commissaire, en son rapport et Mme Catherine POZZO du BORGO, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie par l'Agence de mutualisation des universités et établissements d'enseignement supérieur ou de recherche et de support à l'enseignement supérieur ou à la recherche (Amue) d'une demande d'avis sur un projet de décision relative au traitement de gestion de la scolarité des étudiants mis à disposition par l'Amue. 
Ce projet de décision porte modification de plusieurs modalités de mise en œuvre du traitement de gestion de la scolarité dénommé  Application pour l'organisation et la gestion des enseignements et des étudiants  ou  Apogée .
Ces modifications visent essentiellement à faciliter la gestion administrative et pédagogique des étudiants. 
Sur le régime juridique applicable :
Le traitement de gestion de la scolarité des étudiants mis à disposition par l'Amue comporte le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR) des étudiants. 
Conformément à l'article 27-II-2° de la loi du 6 janvier 1978 modifiée,  sont autorisés [...] par décision de l'organe délibérant chargé de leur organisation  les traitements de données à caractère personnel mis en œuvre pour le compte d'une personne morale de droit privé gérant un service public  qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques , dès lors que ceux-ci : - ne comportent aucune des données mentionnées au I de l'article 8 ou à l'article 9 ;- ne donnent pas lieu à une interconnexion entre des traitements ou fichiers correspondant à des intérêts publics différents ;- sont mis en œuvre par des services ayant pour mission, soit de déterminer les conditions d'ouverture ou l'étendue d'un droit des administrés, soit d'établir l'assiette, de contrôler ou de recouvrer des impositions ou taxes de toute nature, soit d'établir des statistiques.
En outre, le traitement APOGEE mettant  à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique , celui-ci est également soumis au régime de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée. 
Sur la finalité du traitement :