AgentPublic/cnil huggingface dataset:
De surcroît, la société invoque le contrat régissant ses relations avec les entités intégrées et franchisées du groupe pour soutenir qu'elle ne traite les données figurant dans les applications litigieuses que pour le compte de celles-ci, et conformément à leurs instructions. Les prestations qu'elle effectue à ce titre doivent donc, selon elle, être considérées comme de simple sous-traitance au sens de l'article 35 de la loi, les agences de X devant de ce fait en assumer seules la responsabilité. 
Sur ce point, la formation restreinte relève ce qui suit :
- La notion de responsable de traitement doit être interprétée in concreto, afin de prendre en compte l'ensemble des éléments permettant d'attribuer cette qualité à une entité identifiée. Telle est la position constante de la CNIL sur le sujet, comme du groupe de coordination des autorités européennes de protection des données, dit Groupe de l'article 29 ou G29 . 
- En l'occurrence, la formation restreinte relève que la convention de prestation de service groupe régissant les relations entre la société holding X et l'ensemble des sociétés du groupe, invoquée contradictoirement par la société, mentionne clairement la position de tête que celle-ci détient par rapport à ces dernières.
La même convention indique que, "bénéficiant de la centralisation d'informations et d'une vision globale, la société X peut fournir aux filiales les différentes prestations de gestion, de direction, de coordination et de contrôle dont elles peuvent avoir besoin dans les cadre de l'organisation et de l'exercice de leurs métiers". En outre, cette convention prévoit que "la société X, dans le cadre de la prestation de services informatiques qu'elle fournit aux sociétés du groupe, sera seul maître de la définition des moyens [matériels et humains] et notamment du choix de ceux de ses préposés ou mandataires à faire intervenir, sans que les filiales puissent interférer de quelque manière que ce soit dans ce choix". 
- Elle constate, en tout état de cause, qu'il n'est pas contesté que les commentaires trouvés par la délégation de la CNIL établissent l'existence de défaillances en matière de modération et de contrôle des mentions enregistrées par ses filiales et son personnel, ainsi que l'absence de sensibilisation de ce personnel aux principes de la loi Informatique et Libertés. Une telle responsabilité, à l'évidence, incombe à la société ayant le contrôle de la définition des finalités et des moyens du traitement, c'est-à-dire au responsable de ce traitement.
De fait, la société a apporté diverses mesures correctives à l'application litigieuse. A cette fin, elle a inséré un avertissement dans les zones de commentaires, précisant que celles-ci ne peuvent contenir que des données factuelles et non-répréhensibles au titre de la loi du 6 janvier 1978 modifiée. Elle a également créé et déployé un outil d'analyse sémantique des zones commentaires fonctionnant sur la base d'un dictionnaire de mots interdits, mis à jour et actualisé, et effectué un rappel sur les zones commentaires dans la note de référence CNIL groupe . 
Si la société soutient avoir mis en place ces mesures en sa qualité de sous-traitant de ses filiales, la formation restreinte considère au contraire qu'il est impossible de soutenir que la société X n'a agi en l'occurrence que sous l'autorité et la responsabilité de ses 137 filiales, dont elle se contenterait d'exécuter les instructions.
- Par ailleurs, la formation restreinte constate que la société a souscrit auprès des services de la Commission, en son nom et pour son propre compte, un engagement de conformité à la norme simplifiée n°21 relative à la gestion et aux négociations de biens immobiliers. La société soutient que cette déclaration concerne d'autres traitements que l'application litigieuse, dont elle ne précise par ailleurs pas la nature, et conteste que cet engagement de conformité puisse révéler sa qualité de responsable de traitement en l'espèce. Si la formation restreinte ne saurait se fonder sur ce seul point pour entrer en voie de condamnation, elle relève toutefois que cet argument contredit celui donné par ailleurs par la société, consistant à soutenir que celle-ci n'a pas d'activité propre de gestion de copropriété, de gestion locative, de location, ni de vente. 
- Enfin, la formation restreinte relève qu'il ne ressort aucunement de l'instruction que les commentaires litigieux auraient été saisis sous la responsabilité d'une entité du groupe autre que la société X. 
A cet égard, elle relève que la société s'est opposée, lors de l'audience du 5 juillet 2011, à l'examen contradictoire en séance des copies informatiques effectuées par la délégation de contrôle, alors que celles-ci auraient été de nature à établir ce point de manière irréfutable.
Dans ces conditions, la formation restreinte considère qu'il ressort tant des contrôles que de l'instruction que la société X dispose d'un véritable contrôle sur la base de données [...], et qu'elle détermine de manière autonome la manière dont sont traitées les informations qui sont enregistrées dans ces bases. Dès lors, la société X se verra imputer la responsabilité du traitement litigieux. 
2. Sur le grief de non-respect de l'obligation de veiller à l'adéquation, à la pertinence et au caractère non excessif des données
Aux termes du 3° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée, les données à caractère personnel collectées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs . 
La formation restreinte estime qu'il est parfaitement légitime de procéder à la collecte d'informations relatives aux personnes proposant ou recherchant un bien immobilier, en vue d'adapter les prestations fournies par la société aux situations individuelles et de faciliter la relation commerciale avec la clientèle. 
En revanche, elle ne saurait admettre que soient enregistrés des commentaires excessifs et inappropriés sur ces personnes, qui seraient susceptibles de porter gravement atteinte à leur vie privée.
Or, parmi les commentaires concernant les clients de la société qui ont été relevés lors du contrôle, un grand nombre d'entre eux s'avère être à tout le moins inappropriés et subjectifs, voire insultants, comme par exemple : "travaille dans la sécurité a 3 chiens dont 2 rotvellers", "la femelle n'est pas déclarée et son voisin serait un policier donc non", "gros con", "enquête du SRPJ en cours", "problèmes d'alcool et expulsion d'un logement", "la loc est pour le fils", "il est adulte handicapé et fait une formation de plombier au gretta", "locataire enceinte", "cas social", "Locataire indélicat (prison)!!", "Son mari est décédé", "son enfant un mois plus tard... Encore un peu sous le choc", "tante de mr Talpin dont il sera héritier au décès de celle ci (96 ans en maison de retraite)", "étudiante dom tom avec garant", "folle! En dépression", "semble avoir la maladie d'Alzheimer", "Etait légèrement alcoolisée...", "il sentait l'alcool lors de la visite ou encore seule dans la vie (sa fille est décédée)". 
La formation restreinte constate que ces commentaires portent une appréciation subjective sur les clients et prospects de la société et sont parfois même insultants à leur égard. De façon générale, ils portent gravement atteinte à la vie privée des personnes, qui ne sauraient tolérer que des informations aussi intimes soient retranscrites dans les fichiers de la société.
La formation restreinte considère donc que ces commentaires sont excessifs au sens du 3° de l'article 6 de la loi n° 78-17 du 6 janvier 1978 modifiée. 
La société, si elle ne conteste pas la matérialité des faits reprochés, se défend en revanche de toute violation des termes de cet article en contestant sa qualité de responsable du traitement [...], et en soutenant par conséquent que ces commentaires ne lui seraient pas imputables. 
La formation restreinte a déjà établi que la société X devait être tenue responsable des traitements effectués dans le cadre de cet outil métier utilisé par ses filiales, qu'elle pilote, gère, maintient et héberge dans leur ensemble. Dans ces conditions, elle considère que la société n'a pas respecté l'obligation qui lui incombait de veiller à l'adéquation, à la pertinence et au caractère non excessif des données dans la base [...]. 
3. Sur le grief de non-respect de l'interdiction de collecter ou de traiter des données relatives à la santé des personnes ou faisant apparaître leurs opinions religieuses
Aux termes de l'article 8 de la loi du 6 janvier 1978 modifiée, il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. Toutefois, ne sont pas soumis à cette interdiction les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l'interdiction visée au I ne peut être levée par le consentement de la personne concernée (1°), ni les traitements portant sur des données à caractère personnel rendues publiques par la personne concernée (4°).
En l'espèce, il n'est pas contesté que de nombreux commentaires pouvant être qualifiés de données sensibles au sens de cette disposition ont été relevés dans la base [...], notamment : "locataire enceinte", "semble avoir la maladie d'Alzheimer", "Monsieur a la maladie de parkinson et des problèmes pour parler", "maladie génétique", "mme est depressive", "mari malade amiante", "elle a attrapé une maladie au Sénégal", "Mme prothèse hanche et Mr a eu cancer gorge", "depuis difficultés respiratoires", "Sa maman est décédée en juillet 2009 (Maladie de Charcot)", "recherche un T3 proche Magalas pour se rapprocher de leur fille (atteinte d'un cancer)", "Famille de juifs très pratiquant", ou encore "propriétaire est prêtre à la retraite". 
La société soutient que l'enregistrement de ces données dans la base ne saurait lui être reproché. Selon elle, il ne serait pas démontré que ces commentaires n'ont pas été donnés directement par les personnes concernées dans le but de faciliter l'exécution de la prestation ou d'expliquer à l'agence le contexte de leur demande et de leurs attentes. De ce fait, les personnes auraient consenti à ce que les données litigieuses fassent l'objet d'un traitement, qu'elles auraient également elles-mêmes rendues publiques, au sens des 1° et 4° du II de l'article 8 de la loi du 6 janvier 1978 modifiée. 
Sur ce point, la formation restreinte relève ce qui suit.
Elle rappelle, au préalable, que l'article 8 susvisé, qui vise à accorder une protection renforcée à des données considérées comme "sensibles", ne fait aucunement obstacle au fait d'enregistrer dans la base des informations relatives à des exigences spécifiques, liées à un impératif d'ordre médical - tel que par exemple un handicap nécessitant un rez-de-chaussée, un ascenseur ou une douche. 
En revanche, elle ne saurait admettre que la société enregistre la pathologie affectant précisément la personne concernée, en l'absence du consentement exprès de celle-ci. 
A cet égard, la société ne saurait sérieusement soutenir que les personnes ayant donné oralement des informations aux commerciaux de la société auraient, de ce fait, consenti à l'enregistrement de leurs données dans l'outil [...]. La formation restreinte rappelle, à cet égard, que la notion de consentement exprès , dans un tel contexte, doit s'entendre comme la manifestation d'un consentement écrit, libre et éclairé. Elle constate en l'espèce que la société n'a aucunement justifié de l'existence de tels documents.
De même, elle estime qu'il est impossible de considérer que des informations communiquées dans un tel contexte puissent être interprétées comme ayant été rendues publiques au sens de l'article 8-II-4°. En effet, la circonstance que les personnes fournissent des informations relevant de leur vie privée à des commerciaux de la société ne révèle pas pour autant la conscience qu'elles auraient que des données sensibles les concernant soient enregistrées de manière pérenne dans un outil informatique. 
Dans ces conditions, la société ne peut valablement invoquer les exceptions des 1° et 4° du II de l'article 8 de la loi du 6 janvier 1978 modifiée. 
En outre, et en tout état de cause, l'enregistrement de données de santé relatives à l'entourage familial des personnes concernées dans un tel outil-métier n'a aucune justification objective, pas davantage que celui de données relatives à la religion des personnes. 
Dès lors, la formation restreinte considère que l'enregistrement des données litigieuses est contraire à l'article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée. 
- Sur les manquements constatés et la publicité de la décision
Sans qu'il soit besoin de statuer sur les autres manquements, la formation restreinte considère que la société X a violé les dispositions susvisées de la loi du 6 janvier 1978 modifiée.
Elle prend acte du fait que la société a mis en œuvre diverses mesures visant à prévenir tout nouvel enregistrement de commentaires litigieux dans la base [...] à l'avenir. Toutefois, compte tenu de la sensibilité des données traitées et de l'importance de prévenir le renouvellement de tels manquements en l'espèce, la formation restreinte décide d'adresser un avertissement à l'encontre de la société. 
En outre, considérant que la société n'a jugé bon de ne réagir au rapport adressé par la CNIL que très tardivement, en se contentant d'invoquer un dysfonctionnement interne pour expliquer son silence et de missionner un avocat la veille de l'audience pour assurer sa défense, la formation restreinte considère que la société a agi avec une particulière légèreté. Dans ces conditions, elle décide également d'ordonner la publicité de sa décision. 
PAR CES MOTIFS
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, décide : - De prononcer un avertissement à l'encontre de la société X ; - De rendre publique sa décision. 
La Présidente 
Claire DAVAL
La Commission nationale de l'informatique et des libertés,Saisie  par le ministre du travail, de l'emploi et du dialogue social d'une  demande d'avis concernant un projet de décret autorisant la mise en  œuvre du traitement automatisé de données à caractère personnel dénommé   I-MILO  ;Vu la convention n° 108 du Conseil de l'Europe pour la  protection des personnes à l'égard du traitement automatisé des données à  caractère personnel ;Vu la directive 95/46/CE du Parlement européen  et du Conseil du 24 octobre 1995 relative à la protection des personnes  physiques à l'égard du traitement des données à caractère personnel et à  la libre circulation de ces données ;Vu le règlement (CE) n°  1828/2006 de la Commission du 8 décembre 2006 établissant les modalités  d'exécution du règlement (CE) n° 1083/2006 du Conseil du 11 juillet 2006  portant dispositions générales sur le Fonds européen de développement  régional, le Fonds social européen et le Fonds de cohésion ;Vu le  règlement (UE) n° 1303/2013 du Parlement européen et du Conseil du 17  décembre 2013 portant dispositions communes relatives au Fonds européen  de développement régional, au Fonds social européen, au Fonds de  cohésion, au Fonds européen agricole pour le développement rural et au  Fonds européen pour les affaires maritimes et la pêche, portant  dispositions générales applicables au Fonds européen de développement  régional, au Fonds social européen, au Fonds de cohésion et au Fonds  européen pour les affaires
maritimes et la pêche, et abrogeant le  règlement (CE) n° 1083/2006 du Conseil ;Vu le règlement (UE) n°  1304/2013 du Parlement européen et du Conseil du 17 décembre 2013  relatif au Fonds social européen et abrogeant le règlement (CE) n°  1081/2006 du Conseil ;Vu le code du travail, notamment ses articles L. 5131-4 et suivants, L. 5134-110 et suivants, L. 5311-1 et suivants, L. 5314-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-1 (1°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2007-1303 du 3 septembre 2007  modifié fixant les règles nationales d'éligibilité des dépenses des  programmes cofinancés par les fonds structurels pour la période  2007-2013 ;Vu le décret n° 2014-580 du 3 juin 2014 relatif à la gestion de tout ou partie des fonds européens pour la période 2014-2020 ;Après  avoir entendu -Mme Laurence DUMONT, commissaire, en son rapport et M.  Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :Le  ministre du travail, de l'emploi, de la formation professionnelle et du  dialogue social a saisi la Commission nationale de l'informatique et  des libertés d'une demande d'avis, préalablement à la mise en œuvre d'un  traitement de données à caractère personnel dénommé  I-MILO .Le  traitement  I-MILO  est un système d'information national unique  destiné au suivi des jeunes de 16 à 25 ans, par les missions locales  pour l'insertion professionnelle et sociale des jeunes.Ce traitement  constitue la nouvelle version du système d'information, dénommé   Parcours , utilisé par les missions locales et les permanences  d'accueil, d'information, et d'orientation (PAIO) depuis plusieurs  années.Le traitement  Parcours 1  mis en œuvre en 1990, et dont la  finalité était le suivi des jeunes en crédit-formation individualisé, a  connu des évolutions jusqu'en 2012.La version actuelle  Parcours 3  est devenue obsolète.Outre  des améliorations techniques nécessaires notamment dans le cadre de la  dématérialisation de contrats aidés, l'une des nouveautés du traitement   I-MILO  réside dans l'utilisation du numéro d'inscription des  personnes au répertoire national d'identification (NIR) qui sera  collecté et traité dans l'outil à des fins d'identification des jeunes.Le  développement et l'exploitation d' I-MILO  sont confiés à un  opérateur privé dans le cadre d'une convention de délégation de service  public.La gestion de la relation avec les jeunes demeure du seul
ressort des missions locales, dans la mesure où le traitement projeté  comporte le NIR, sa mise en œuvre doit être autorisée par décret, pris  après avis motivé et publié de la Commission, en application des  dispositions de l'article 27-I (1°) de la loi du 6 janvier 1978  modifiée.Sur le responsable de traitement et les chargés de mise en œuvre :L'article  1er du projet de décret (ci-après  le projet ) autorise le ministre  chargé de l'emploi, en sa qualité de responsable de la mise en œuvre du  service public de l'emploi, à créer un traitement automatisé de données à  caractère personnel ayant pour finalité de permettre aux missions  locales pour l'insertion professionnelle et sociale des jeunes  d'exécuter les missions qui leur incombent.Il est précisé que les  missions locales sont chargées de la mise en œuvre du traitement,  confiée jusqu'à présent à la délégation générale à l'emploi et à la  formation professionnelle (DGEFP).La commission relève que les PAIO  sont également utilisatrices de  I-MILO  et estime qu'elles devraient  être mentionnées dans le projet au même titre que les missions locales.La  commission rappelle qu'il appartient au ministère de garantir que les  conventions et partenariats conclus au niveau local par les missions  locales sont conformes au projet et de ce fait, aux dispositions de la  loi informatique et libertés du 6 janvier 1978 modifiée.Sur la finalité :Aux  termes de l'article 2 du projet soumis à l'examen de la commission, le  traitement
I-MILO  est créé pour permettre aux missions locales de   mettre en œuvre une politique locale concertée d'insertion, ainsi que  les actions d'insertion, de concertation et d'évaluation, conformément  aux missions qui leur sont dévolues par les dispositions des articles L. 5314-2 du code du travail .Les  missions locales doivent veiller à la continuité de la prise en charge  des jeunes tout au long de leurs parcours, notamment en s'appuyant sur  un suivi efficace. Le traitement  I-MILO  a donc pour finalités  l'amélioration de l'orientation et de la prise en charge des jeunes et  la construction des parcours d'insertion adaptés pour les conduire vers  l'autonomie, en tenant compte de leurs besoins.Le traitement   I-MILO  répond également à des besoins de gestion interne et de  pilotage des activités des structures mais aussi de production de  statistiques diffusables à des tiers comme les services de l'Etat, tel  qu'indiqué à l'article 5 du projet.Il résulte des échanges avec le  Gouvernement que le traitement n'a pas pour finalité la lutte contre la  fraude, mais qu'il permet d'apporter la garantie d'absence de doublons.La  commission relève que les finalités du traitement  I-MILO  sont  identiques à celles de  Parcours 3 , et considère qu'elles sont  déterminées, explicites et légitimes.Enfin, la commission prend acte  que le traitement  I-MILO  permet la création de modules spécifiques  pour répondre à d'éventuels besoins complémentaires de l'administration  ou de
missions locales.Elle rappelle que si la mise en œuvre de ces  modules apportait une modification au traitement I-MILO qui sort du  cadre commun fixé par le projet, le ministère devrait modifier le décret  en ce sens.Si la mise en œuvre de tels modules conduit à créer un  nouveau traitement au bénéfice exclusif d'une ou plusieurs missions  locales, il appartiendra auxdites missions locales de s'acquitter auprès  de la CNIL des formalités préalables.La commission rappelle qu'en  sa qualité de responsable du traitement le ministère est garant du  respect de loi du 6 janvier 1978 modifiée, dans le cadre de sa mise en  œuvre au sein des missions locales.Sur les données traitées :L'article 3 du projet encadre les catégories d'informations enregistrées dans le traitement  I-MILO .Les  données collectées et traitées dans le cadre du traitement  I-MILO   sont annexées au projet soumis à la commission. Ces données  correspondent à huit catégories et portent sur :
1. Des données  relatives à l'identification du jeune : civilité, nom de naissance,  usuel, marital, patronymique, prénoms ; date et lieu et naissance, code  INSEE des communes et pays de naissance, le cas échéant l'indication de  la naissance à l'étranger, indication d'un parent né à l'étranger, sexe ;  numéro d'inscription au répertoire national d'identification des  personnes physiques (NIR), adresses personnelles en France et à  l'étranger, nationalités, date de péremption du titre de séjour,  téléphone/fax et adresse électronique, adresses professionnelles,  matricule attribué par le traitement, numéro de pièce d'identité du  jeune et type de pièce.
2. Des données relatives à la situation  familiale : situation matrimoniale et du ménage (vie en ménage ou  famille monoparentale, nombre d'enfants ou de personnes à charge),  coordonnées des représentants légaux si le jeune suivi est mineur.
3.  Des données relatives à la vie professionnelle : formations, diplômes,  qualifications, statut sur le marché du travail (emploi ou formation),  niveau de formation, scolarité, dernier système de formation initiale,  dernière académie ou région d'origine, permis de conduire, langues  pratiquées, numéro d'enregistrement interne de l'élève dans le système  interministériel d'échanges d'information, qualifications détenues et  exercées, expériences antérieures.
4. Des données relatives à la  situation du jeune suivi au regard de l'emploi : durée sans emploi,  inscription à Pôle emploi, identifiant demandeur d'emploi (IDE), durée  d'inscription à Pôle emploi, informations relatives à l'employeur,  informations relatives à l'organisme de formation, informations  relatives aux dispositifs légaux d'insertion sociale.
5. Des données  relatives à la situation au regard de l'aide sociale : indication du  statut de bénéficiaire des minima sociaux, inscription et durée des  aides, numéros d'allocataire, statut de travailleur handicapé.
6. Des données relatives aux difficultés sociales des personnes : indication de difficultés de logement.