AgentPublic/cnil huggingface dataset:
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie, dès lors qu’elles s’avèrent nécessaires à l’exercice d’un mandat de représentation.
Sur les destinataires
Seul le responsable de traitement et, le cas échéant, les membres habilités de son personnel soumis à une obligation de confidentialité peuvent accéder au présent traitement. Le responsable de traitement est  habilité à transmettre des données aux destinataires suivants :Le juge des tutelles compétent peut être destinataire de l’intégralité des données du traitement.La direction départementale de la cohésion sociale et les organismes financeurs, au nombre desquels figurent notamment les caisses d’allocations familiales ou de mutualité sociale agricole, la caisse des dépôts et des consignations ou encore les caisses primaires d’assurance maladie, peuvent être destinataires des données d’identification, des données relatives à la vie personnelle et des numéros de sécurité sociale.La Commission considère que ces destinataires présentent un intérêt légitime à connaître de ces données.Elle estime, par ailleurs, que le responsable du traitement peut également communiquer des données aux organismes en relation avec les personnes représentées, sous réserve que ces transmissions soient indispensables à ces relations, d’une part, et que les données concernées soient limitées au strict nécessaire, d’autre part. 
Sur les durées de conservation
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur des notices d’information remises par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure.La Commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que ces informations doivent être fournies selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de L’EHPAD les Landes  par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
Autorise, conformément à la présente délibération, L’EHPAD les Landes, en qualité de service mandataire judiciaire à la protection des majeurs, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1793477)
La Commission nationale de l'informatique et des libertés,
Saisie par Madame Marie LE GUEN, prise en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel, d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous curatelle ou sous tutelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 361-1, L. 471-1 à L. 473-4 et R. 472-1 à R. 472-26 ;
Vu le code civil ;
Vu le code de procédure pénale, notamment ses articles 706-112 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu la loi n° 2007-308 du 5 mars 2007 portant réforme de la protection juridique des majeurs ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté nominatif d'agrément du Préfet des Côtes d’Armor en date du 2 janvier 2013 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Madame Marie LE GUEN, prise en sa qualité de mandataire judiciaire à la protection des majeurs, exerçant à titre individuel au 1, Merry Feunteun – 22290 PLEHEDELLe responsable de traitement exerce la mission de mandataire judiciaire à la protection des majeurs que le juge des tutelles lui confie conformément aux dispositions de l’article L. 471-1 du code de l’action sociale et des familles (CASF).Le responsable de traitement est spécifiquement agréé en tant que tel par le préfet de son département.
Sur la finalité
Madame Marie LE GUEN a saisi la Commission, en qualité de mandataire judiciaire à la protection des majeurs, d’une demande d’autorisation afin de mettre en œuvre un traitement de données à caractère personnel ayant pour finalités la gestion et le suivi de la représentation juridique des personnes placées par l’autorité judiciaire sous sauvegarde de justice, sous tutelle ou sous curatelle relevant de son mandat.A ce titre, une gestion administrative et comptable du service de tutelle est nécessaire. La Commission considère que cette finalité est déterminée, explicite et légitime.Le traitement, justifié par l’intérêt public, peut faire apparaître, directement ou indirectement, les opinions religieuses ainsi que des données relatives à la santé des personnes. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements, automatisés ou non, portant sur de telles données.Il convient également de faire application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.La Commission estime qu’il y a également lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national
Sur les données traitées
Les données collectées dans le cadre du présent traitement sont, en fonction du type de la mesure de protection (sauvegarde de justice, curatelle ou tutelle), du contenu précis de la mesure prononcée par le juge et de la nature des actes à accomplir, relatives :
à  l’identification des personnes et, le cas échéant, à celle de leurs conjoints et enfants (nom, prénom, adresse, date et lieu de naissance) ;
à leur vie personnelle (situation familiale, habitudes de vie) ;
à leur vie professionnelle (CV, situation professionnelle, scolarité, formation, distinction) ;
à des informations d’ordre économique et financier (revenus, situation financière) ;
aux données de connexion (identifiants de connexions) ;
à la santé (pathologie, affection, antécédents familiaux, données relatives aux soins, situations comportements a risques) ; 
aux opinions religieuses ;
aux infractions, condamnations ou mesures de sûreté, dans les limites prévues par les dispositions législatives en vigueur ;
au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (numéro de sécurité sociale), uniquement dans le cadre d’échanges avec des professionnels de santé, des organismes de sécurité sociale, de prévoyance ou de retraite, ainsi que des financeurs de prestations sociales ou médico-sociales ;
à des appréciations sur les difficultés sociales des personnes.
Sur les durées de conservation
Les données à caractère personnel enregistrées dans le présent traitement sont conservées jusqu’à la prescription de l’action en reddition des comptes, en revendication ou en paiement diligentée par la personne protégée ou ses héritiers à savoir, en application de l’article 515 du code civil, cinq ans à compter de la fin de la mesure de protection sauf interruption ou suspension de la prescription.  La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et le droit d’accès 
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales figurant sur des notices d’information remises par le responsable de traitement aux personnes concernées lors de l’ouverture de la mesure.La Commission considère que cette modalité d’information des personnes est satisfaisante. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état.Sauf décision contraire du juge des tutelles, les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès de Madame Marie LE GUEN, par courrier, fax ou courriel.  La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes. 
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.L’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués de dix caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.Les habilitations d’accès au système d’information sont définies en fonction des attributions des utilisateurs. Les échanges de données effectués sur internet sont sécurisés par des procédés de chiffrement du transport des données.La Commission rappelle que les accès à l’application doivent faire  l’objet d’une journalisation et que la conservation des traces ne peut excéder une durée de six mois, au-delà de laquelle celles-ci doivent être supprimées.Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévues par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Autorise, conformément à la présente délibération, Madame Marie LE GUEN, en qualité de mandataire judiciaire à la protection des majeurs exerçant à titre individuel,  à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1872471)
La Commission nationale de l'informatique et des libertés, 
Saisie par la société par actions simplifiée PCO INNOVATION FRANCE d’une demande d’autorisation concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients  ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-6° et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société par actions simplifiée PCO INNOVATION FRANCE, en qualité de société du groupe Accenture, sur le fondement de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients.
Sur la finalité du traitement : 
Au titre de ses obligations, notamment au regard de l’article 34 de la loi du 6 janvier 1978 modifiée et des contrats signés avec ses partenaires commerciaux, la société par actions simplifiée PCO INNOVATION FRANCE est tenue de garantir la sécurité des données qui lui sont confiées.
Afin de détecter et de prévenir la perte de ces données, ainsi que leur diffusion accidentelle ou malveillante, un outil dit de « Data Loss Prevention (DLP) » analysera les réseaux internes de la société, les postes de travail professionnels, ainsi que les points de sortie des réseaux internes.
Seules les données préalablement définies, qui exigent un haut niveau de sécurité, appelées données cibles, seront recherchées par cet outil. En l’espèce, les données cibles sont  des numéros d’inscription des personnes au répertoire national d’identification des personnes physiques (ou numéros de sécurité sociale) et des numéros de cartes bancaires.
En cas de détection d’une transmission de données contenant des données cibles, l’utilisateur sera informé, par l’affichage d’une fenêtre d’avertissement ou l’envoi d’un courriel automatique, qu’il s’apprête à réaliser une opération soumise à restriction qui fera l’objet d’une analyse par les personnes habilitées en cas de persistance. 
A cette occasion, il lui sera demandé de confirmer ou d’abandonner son action et, en cas de poursuite, d’expliquer la raison de son choix parmi un menu prédéfini.  
Si l’utilisateur décide de ne pas poursuivre son action, l’outil DLP enregistrera une trace de cet évènement pendant trois jours mais aucune analyse ne sera effectuée par les personnes habilitées à analyser la légitimité d’une opération.
En cas de persistance de l’action, quel que soit le motif invoqué par l’utilisateur, l’outil DLP générera automatiquement un extrait des données concernées, constitué des vingt caractères qui précèdent et qui suivent les données cibles. Cet extrait sera par la suite adressé aux personnes chargées d’étudier la légitimité de l’opération effectuée, dans le respect des procédures internes et de la législation applicable.
En complément de l’analyse de la légitimité des opérations effectuées sur les données cibles, l’outil DLP permettra également, en cas de découverte de pratiques de gestion de données non sécurisées, d’apporter les mesures correctives nécessaires pour éviter leur réitération.
La Commission considère que les finalités poursuivies par la société par actions simplifiée PCO INNOVATION FRANCE sont déterminées, explicites et légitimes.
Elle estime qu’il y a lieu de faire application de l’article 25-I-6° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements portant sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.
A ce titre, elle rappelle que les traitements dits de DLP relèvent, en principe, de la procédure de déclaration normale, sauf lorsqu’ils portent sur des données dont le traitement doit être autorisé par la Commission tel que prévu par l’article 25 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données collectées et traitées :
Les données à caractère personnel collectées par l’outil DLP sont relatives à des :
données d’identification (courriel) ;
informations d’ordre économique et financier (numéros de cartes bancaires) ;
numéros d’inscription des personnes au répertoire national d’identification des personnes physiques (numéros de sécurité sociale).
L’outil DLP est configuré pour rechercher et sécuriser uniquement les données qui, en raison de leur nature, exigent un haut niveau de sécurité.
En l’espèce, les données cibles recherchées comprennent uniquement des numéros de sécurité sociale et des numéros de cartes bancaires.
Par ailleurs, pour réduire le nombre de faux incidents, le responsable de traitement a décidé qu’une alerte ne sera émise qu’en cas de détection d’au moins vingt-cinq numéros de sécurité sociale ou d’au moins vingt-cinq numéros de cartes bancaires.
Les données stockées dans les boîtes de réception ou les dossiers des employés ne sont pas analysées par l’outil DLP tant qu’elles ne font pas l’objet d’une transmission. 
En cas de transmission, les courriers électroniques et les fichiers identifiés par leurs émetteurs comme étant « privés » sont également exclus du champ d’application du présent traitement, ce qui apporte une garantie quant au respect du secret des correspondances privées.
La Commission considère que le traitement des données précédemment listées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Elle précise que l’ajout d’un nouveau type de données cibles dont le traitement est, en application de la loi du 6 janvier 1978 modifiée, soumis à autorisation préalable de la Commission, devra faire l’objet d’une nouvelle demande d’autorisation.
Sur les destinataires des données :
Les données du présent traitement seront transmises pour instruction :
aux membres habilités du service chargé de la sécurité (SOC) de la société Accenture LLP ;
aux membres habilités du service chargé de la réponse aux incidents informatiques (CIRT) de la société Accenture LLP.
En cas de détection d’une anomalie par ces personnes, les données pourront être transmises :
aux membres habilités du service « Corporate investigation » de la société Accenture LLP ;
aux membres habilités du service des ressources humaines de la société par actions simplifiée PCO INNOVATION FRANCE ;
au(x) manager(s) concerné(s) de la société par actions simplifiée PCO INNOVATION FRANCE ; 
au data privacy officer de la société par actions simplifiée PCO INNOVATION FRANCE chargé de garantir la protection des données à caractère personnel.
La Commission considère que ces destinataires présentent un intérêt légitime à connaître des données collectées par l’intermédiaire de l’outil DLP.
Elle relève, par ailleurs, que le client concerné par une anomalie se rapportant aux données à caractère personnel confiées à la société par actions simplifiée PCO INNOVATION FRANCE pourra être informé de l’incident. 
Sur la durée de conservation des données :
Les données relevant de la vie privée des utilisateurs qui seraient collectées, malgré les précautions prises en amont par le responsable de traitement, seront immédiatement détruites.
Les données relatives à une alerte ne mettant pas en lumière une anomalie seront détruites au plus tard trois jours à compter du constat.  
En cas de mise à jour d’une anomalie, les données seront conservées le temps nécessaire à la réalisation de l’enquête associée, dans le respect des procédures internes et de la législation applicable.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement des finalités poursuivies par le responsable traitement.
Sur le transfert des données en dehors de l’Union européenne :
Les données collectées par l’intermédiaire de l’outil DLP seront envoyées vers un serveur sécurisé situé aux Etats-Unis d’Amérique, aux fins de permettre leur analyse par les membres habilités des services de la société Accenture LLP chargés de la sécurité (SOC) et de la réponse aux incidents informatiques (CIRT), ainsi que par les membres habilités de son service « Corporate investigation ».
L’ensemble des données du présent traitement feront l’objet de tels transferts.
Les transferts de données réalisés dans le cadre du présent traitement seront encadrés par les règles internes du groupe Accenture (« Binding Corporate Rules »), validées le 14 mars 2006 par les autorités européennes de protection des données à caractère personnel.
Sur l'information et les droits des personnes :
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des actions de communication interne, notamment la remise d’une notice d’utilisation avant la mise en œuvre de l’outil DLP expliquant son fonctionnement, par une insertion dans le règlement intérieur et, enfin, par l’affichage d’une fenêtre d’avertissement ou par l’envoi d’un courriel automatique en cas de détection d’une opération soumise à restriction.
Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès du Data Privacy Officer (DPO) de la société par actions simplifiée PCO INNOVATION FRANCE.   
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Les échanges de données sont sécurisés par l’utilisation d’un procédé de chiffrement (AES 128 bits).
Une fonctionnalité de journalisation des opérations permet d’identifier l’utilisateur à l’origine d’une opération.
Les interventions de maintenance sont enregistrées dans une main courante.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société par actions simplifiée PCO INNOVATION FRANCE à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité de garantir la confidentialité et la sécurité de certaines des données à caractère personnel confiées par ses clients.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1870809)
La Commission nationale de l'informatique et des libertés,
Saisie par FCA FRANCE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité le suivi et la gestion du pré contentieux et des contentieux ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-3°et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
FCA FRANCE, société spécialisée dans le commerce de véhicules automobiles.
Sur la finalité